ARTICLE · 1321088

防波堤の崩壊AI時代に企業が守るべき5つのセキュリティの門

发布时间：2026-11-06 18:21:26 最近访问：2026-11-06 18:21:27

IT記事 · 経営者通読版門が壊れ、壁も倒れた10月の日本、相次ぐ情報漏えい：AIが2つの緩衝材を同時に外した今回起きたのは、ある1棟のビルに泥棒が入った話ではありません。日本企業を20年守ってきた、技術によらない2つの防波堤が、同じ四半期に2つとも失われたということです。

私たちは企業ITの最前線から、プロの視点で、ビジネスに影響する技術変化を解説します。—— EZ-net@IT研究所

はじめに · PREFACE10月に入ってから、PHP関連のぜい弱性を突いた攻撃は止まっていません。この間、弊社はお客様の事案の調査、お問い合わせへの回答、緊急対応に全力を注いでおり、今日も順次対応を進めています。並行して、PHPに関わるシステムの改修提案、お見積もり、新規プロジェクトの立ち上げも、一件、また一件と積み上がってきました。多忙な日々ではありますが、現場で対応を続けているからこそ、はっきりと言えることがあります。今回のぜい弱性は、経営者の皆様に、できるだけ簡単な言葉で一度説明しておく必要があります。その合間を縫って、この記事を書きました。

CONTENTS · 目次01この1か月余りで、何が起きたのか02日本はこの20年、何で守られてきたのか0310月、3つの壁が同時に倒れた04まず2つの数字を確認しておきます05最初に破られたのは、どの門だったのか06なぜ今回は「どの業界も安全ではない」のか07企業が本当に守るべき5つの門08経営層の皆様への3つのご提案09最後に：緩衝期間は終わりました

日本はこの20年、技術ではなく、予算のかからない3つの壁に守られてきました——言語、日本語で書かれたレガシーシステム、そして攻撃のコストです。今年10月、その3つに同時にひびが入りました。

1. この1か月余りで、何が起きたのか

10月の日本では、大手企業が1日か2日おきに説明会を開き、謝罪しています。

9月25日のタイムズカーを起点に、日本企業の情報漏えいの公表は、点から線へとつながりました。以下は公表日の順に並べたものです（数値は各社の公表および報道をもとに、最大値または累計値をとっています。10月31日時点のものです）。

タイムズカー660万アカウント（うち本人確認写真160万件）9/25 · Webシステム、うち1系統は稼働約20年

焼肉きんぐ（物語コーポレーション）1,079万件10/5 · アプリ会員管理システム

GMOリサーチ89万件10/5 · ソフトウェアのぜい弱性

大和証券約11万件10/5 · 委託先のFAQシステム

IDCフロンティア顧客機関495社10/7 · クラウド基盤がランサムウェア被害

第一興商872万件10/8 · 委託先のPC1台

ローソン216万件10/8 · アプリのデータ表示機能の悪用

skyticket1,464万件10/9 · 管理画面の機能の操作

ブックオフ643万件10/9 · 子会社の会員システム

JR東日本206万件10/9 · メールサービス（IDCフロンティアのクラウド上）

ライドオンエクスプレス650万件10/13 · 委託先のサーバー事業者がランサムウェア被害

ソースネクスト2,252万件10/15 · 会員データを扱うAPIの悪用

バーガーキング・ジャパン1,118万件10/15 · 公式アプリの会員システム

ヤマト運輸526万件10/16 · 未公表

日本経済新聞183万件（うち約15万件が個人情報）10/16 · 開発システムの認証情報の窃取

エミリック約5,162万件（累計）10/19 · 支援要員のログイン情報の窃取、マルウェアによる5システムからのデータ持ち出し

楽天トラベル260万件（うち約86万件がメールアドレス）10/20 · 訪日外国人向け多言語予約サイト

佐川急便最大5,323万件10/23 · 公式サイトの「荷物問い合わせサービス」への不正アクセス

ソニーネットワークコミュニケーションズ（So-net）258万件＋メールパスワード5.4万件10/26 · 会員データベースへの不正アクセス

良品計画（MUJIアプリ）約2,726万件10/30 · 公式アプリへの不正アクセス

クラブツーリズム432万件10/31 · ネット予約システムのサーバー（緊急連絡先を含む）

10月28日には、ソニー生命保険、ドン・キホーテ、バンダイナムコエンターテインメント、九州大学およびその附属病院の5者が、同じ種類の事案を相次いで公表しました。10月末の時点で、この線はまだ終わりが見えていません。

個人情報保護委員会の集計では、4月1日から10月16日までに受理された不正アクセス等の報告はすでに2,094件、対象は約2.6億人分に達しています。この数字には重複が含まれるため被害者数として扱えませんが、すでに日本の総人口の2倍近くに相当します。10月の前半だけで830件、9月は1か月で303件でした。

レンタカー、外食、小売、物流、メディア、鉄道、旅行、証券、大学、クラウドホスティング——「うちには関係ない」と言える業界は、ほとんどありません。

影響が最も大きいのはGMOインターネットグループです。傘下の「お名前.com デスクトップクラウド」（FX自動売買向けのクラウドデスクトップサービス）が不正アクセスを受け、顧客アカウントにおいて本人以外の操作が行われ、影響が及ぶ可能性のあるサーバーは約2万7,000台に上ります。攻撃者は約80億円（約5,000万ドル）の身代金を要求し、GMOはこれに応じておらず、その後、顧客情報とみられるデータがネット上に公開されたと報じられました。GMOは取引に伴う損失の補償を約束し、同サービスの全利用者に一律5,000円の見舞金を支給し、あわせて警察に届け出ています。

もう1点、これとは別に記録しておくべきことがあります。10月24日、GMOは日本政府に対して「能動的サイバー防御」の適用を緊急に要請しました。10月1日に関連法が施行されて以降、初めての要請事例です。民間企業が「自社だけでは、高度なサイバー犯罪グループから国民の資産を守るのは難しい」と公に述べたのです。この一言そのものが、今回の事態の規模を物語っています。

2. 日本はこの20年、何で守られてきたのか

日本のセキュリティについては、海外から長くこのような評価がされてきました。投資が足りない、人材が足りない、取り組み始めたのが遅い。

根拠がないわけではありません。IPA（情報処理推進機構）の試算でも、サイバーセキュリティ人材は慢性的に不足しています。日本企業はセキュリティ予算に対して一貫して慎重で、関連する法整備やインフラ整備も欧米より遅れました。日本政府の関係者自身が「欧米と比べて差がある」と公の場で述べたこともあります。

ただ、この面だけを見ていると、もっと重要なことを見落としてしまいます。この20年、日本では、実際に攻撃を受けているという実感が、欧米より確かに薄かったのです。世界の攻撃件数が右肩上がりで増えるなか、日本の曲線は比較的なだらかでした。

日本が頼ってきたのは技術ではなく、予算のかからない3つの壁でした。

011つ目の壁：言語日本のセキュリティ業界には、長く語り継がれてきた半ば自嘲気味の言い方があります。「最強のファイアウォールは日本語だ」と。これには理由があります。国境を越える攻撃の多くは1通のメールから始まり、攻撃組織が使う言語は、英語とロシア語が中心です。「総務や経理の担当者を通り抜けられる」日本語メールを書くには、文法が正しいだけではまったく足りません。敬語の使い分け、呼称の習慣、社内で共有されている言い回し——どれか1つが少しずれると、そこだけ浮きます。返信率が上がらなければ、この商売は費用に見合いません。

022つ目の壁：日本語で書かれたレガシーシステム日本企業で10年、20年動き続けているシステムは、仕様書も変数名もコメントも日本語で、しかも当時の数人にしか通じない社内用語で書かれていることが少なくありません。書いた人は、たいていすでに退職しています。攻撃者が権限を手に入れたとしても、そうしたコードの中から価値のあるデータを素早く特定するのは、割に合わないほど高コストです。

033つ目の壁：攻撃側のコストかつて1つの標的を落とすには数週間、ときには数か月かかりました。だから攻撃者は最も価値の高いところだけを選びました。金融、取引所、インフラ、資産家。中小企業や「盗むものがなさそうに見える」業界は、長くリストに載りませんでした。

この3つの壁には共通点があります。どれひとつとして、セキュリティ予算で買ったものではありません。 言語という偶然、システム更新の遅れ、コストとリターンの損得勘定。だからこそ日本企業は、「技術投資には保守的」と評価されながら、長いあいだ全体としては平穏を保てたのです。

今年の10月、この3つの壁に同時にひびが入りました。

3. 10月、3つの壁が同時に倒れた

壁一AIが日本語を書けるようにした大規模言語モデルがここまで来ると、「日本人が書いたような日本語メールを書く」ことはもう難題ではありません。業界では、AIが「海外の攻撃組織の足を止めていた言語というハードル」を取り除き、同時に1回あたりの攻撃コストを押し下げた、という見方でほぼ一致しています。ただし、ここは公平に補足しておきます。日本の研究者（国立情報学研究所の研究員）からは、AIは攻撃を自動化しただけで、今回の一連の事案では主要因ではないという指摘もあります。「AIが今回の主因かどうか」と「AIが長期トレンドかどうか」は別の問いです。前者にはまだ議論があり、後者にはもう議論の余地がありません。

壁二AIはぜい弱性を見つけるのにも使える10月21日、PHPにリモートコード実行につながる2つのぜい弱性が公表されました（CVE-2026-109618 / CVE-2026-109619、CVSS 9.2）。業界ではPHP2Shellと呼ばれています。PHPの公式発表では、これを「PHPの歴史において、ここ10数年で最も深刻なセキュリティ事案の1つ」と表現しています。公開統計によれば、世界のWebサイトの約7割がサーバー側でPHPを動かしています。つまり、世界が同時に、同じぜい弱性に直面したということです。今回、ほとんど語られていない細部があります。OpenAIの開示によれば、この2つのぜい弱性はセキュリティ研究者が最先端のAIモデルを使って発見したもので、Wizも独自に発見し報告しています。この局面では、AIは守る側に立っていました。ぜい弱性の公開から45分で、攻撃の試行は数千回から数万回に跳ね上がり、10月22日には数百万回に達しました。日本国内でも、みずほ銀行、静岡銀行、三菱グループ各社、日本航空（JAL）、JR東日本で、オンラインサービスの一部停止が発生しています。

壁三AIは侵入口を探すのにも使われたこちらはその正反対で、AIが攻撃側に立った事例です。10月19日、GMOサイバーセキュリティ byイエラエが調査結果を公表しました。日本企業約20社を狙った攻撃基盤から、今年7月にオープンソース化された「AIによる自律型ペネトレーションテストシステム」の痕跡が見つかったという内容です。対象のうち9社は同じ業種に属し、8社は9月から10月にかけて漏えいを公表していました。このシステムの名前はARTEX。開発者は中国のセキュリティエンジニア（GitHub ID：Autumn-27）で、本職は脅威検知です。ARTEXは余暇に開発したサイドプロジェクトです。自分ではモデルを訓練せず、Claude、GPT、DeepSeekといった既存の大規模言語モデルをつなぎ、標的の分析、経路の探索、スキャンツールの実行までを自分で進めます。彼がこれを開発した目的は、とても素朴なものでした。企業が自分のシステムを調べるために使う——自社のサイトが動かしているPHPのバージョンは何か、認証のかかっていないAPIはないか、外から届く場所に古いサーバーが残っていないか。いわば、オーナー自身に渡された鍵です。自分のビルの錠前がどれだけ丈夫かを試すためのものです。7月にGitHubでコードを公開し、9月には百度の「Agent+」レッドチームコンテストで賞も取っています。問題は、鍵を玄関先に置けば、誰でも持っていけることです。10月8日に開発者がクローズドソース化と更新停止を表明した時点で、このコードはすでに1万2,000回以上フォークされていました。先に韓国の金融機関を狙い、その後日本企業に向かった攻撃者が使っていたのは、まさにこれです。開発者本人の説明はこうです。ツールが悪用されたのであって、自分は事前に知らなかった、これらの犯罪について責任を負うものではない、と。だからこの件で覚えておくべきことは、「ツールがどこの国のものか」ではありません。これは特定の一国の問題ではないということです。能力はひとたびオープンソースになれば、すべての人に流れていきます。変わったのは「誰のツールか」よりも、「ぜい弱性を見つける」という行為のコストのほうです。

同じ力が、1年のうちに正反対の2方向へ同時に加速しています。これが10月を読み解く鍵です。

4. まず2つの数字を確認しておきます

少し興ざめな段落かもしれませんが、判断には役立ちます。今回の件について最も広く流布された2つの説は、どちらも先に確認しておく必要があります。

その1「日本企業80社以上が攻撃を受けた」GMOの報告の原文にこの数字はありません。結論はこうです。攻撃の対象は約20社の日本企業で、うち9社は同じ業種に属し、8社はすでに公表済みです。いわゆる「80社」は一部メディアの見出しの表現で、おそらく攻撃者が「国内外の証券・FX会社70社以上の顧客アカウントに引き続き手をかける」と脅した一節を、「すでに70社以上を攻撃した」と読んだものと思われます。

その2「日本がサイバー空間の緊急事態を宣言した」これが最も広く流布された説ですが、日本政府は緊急事態を宣言していません。この発言は、与党のサイバーセキュリティ戦略本部の責任者が10月9日の党内会議で述べたもので、政党レベルの表現です。

政府の実際の動きは次のとおりです。国家サイバー統括室、金融庁、情報通信研究機構（NICT）が相次いで注意喚起を発出し、IPAは影響を受けた機関向けに専用の支援窓口を開設しました。10月26日には、首相が1週間以内に緊急対策を取りまとめるよう内閣に指示しました。

なぜここにこだわるのか。数字を大きく見せるとリスクの等級を誤り、数字を小さく見せると自分の位置を誤るからです。セキュリティの判断では、大きいが曖昧な数字より、小さくても正確な数字を使うべきです。

5. 最初に破られたのは、どの門だったのか

これら十数件の侵入口を並べると、傾向ははっきりしています。

84件2025年の年間公表数

119件2026年、10/6までに公表

81件うち7/1以降に発生

第一インターネットに公開されたシステムが、依然として主要な侵入口です日本国内でWebシステムへの不正侵入が発覚し公表された件数です。1年足らずで倍増し、しかも加速しています。侵入口別に分類すると、上位3つは公開サービス、委託先、共用ソフトウェアです。単独の事案は少なく、共通の原因による事案がほとんどです。同じ対外入口として、メールクライアントも例外ではありません。今年の Outlookの高リスクぜい弱性 CVE-2026-70329 で問題になったのは、社長と経理が毎日使っているあの端末です。

第二1つのベンダーの問題が数百社を同時に巻き込み得ますIDCフロンティアのクラウド基盤がランサムウェア攻撃を受け、一度に495社の顧客機関に影響が及びました。JR東日本の206万件も、メールサービスがこのクラウド上で動いていたことが原因でした。自社のセキュリティ境界は、とうに自社の壁の中だけで完結しなくなっています。

第三実際に突かれているのはレガシーシステムですタイムズカーの件で問題になったWebシステムの1つは、稼働約20年でした。こうしたシステムには共通点が2つあります。誰も触りたがらない。そして、どのバージョンで動いているのか誰も説明できない。これはPHP2Shellと同じ種類の問題です。2つのぜい弱性はPHPインタープリタのカーネルにあり、サイト自身の業務コードが動き出す前に発火します。コードがどれだけ整っていても、WAFをどれだけ細かく設定しても、止められません。影響範囲はPHP-FPM、mod_php、php-cgi、FrankenPHP、LiteSpeedに及び、フレームワークやCMSの種類とは関係ありません。修正版はPHP 8.5.12 / 8.4.27 / 8.3.36 / 8.2.35です。PHP 8.1以前には公式の修正プログラムがなく、アップグレードしか選択肢がありません。そして「8.1以前」は、10年近く動き続けているサイトが今も少なからず使っているバージョンです。

6. なぜ今回は「どの業界も安全ではない」のか

ローソン、バーガーキング・ジャパン、焼肉きんぐ、ブックオフ、タイムズカー。この顔ぶれを見ると、いささかちぐはぐに見えます。なぜ攻撃者は突然、焼肉店や古書店に関心を持ったのか。

答えはこうです。彼らが特定の誰かを狙ったわけではなく、攻撃のコストが下がったのです。

かつて1つの標的を落とすには数週間かかり、最も価値の高いところしか選べませんでした。今はその作業をAIに分割して任せます。侵入口を探す、ドキュメントを読む、フィッシングメールを書く、パスワードを試す、別のモデルに替えてまた試す——24時間365日、休まず、給料も上がらない。限界費用が下がれば、対象範囲は必ず広がります。攻撃者が増えたのではなく、同じ攻撃者が同時に多くの相手を攻撃できるようになったのです。今年の用友（Yonyou）財務システムに対するランサムウェア攻撃も同じ道筋でした。標的が「基幹システム」の一覧に載っていなくても、まとめてスキャンされてしまう。

日本企業には、さらに一段の圧力があります。ここでのコンプライアンスは「謝って終わり」ではありません。

1万7,139件2025年度の民間報告件数

22.3%うち不正アクセスによるもの

30日最終報告の期限（不正アクセスは60日）

2025年度、日本の民間企業が個人情報保護委員会に報告した情報漏えい等の事案は1万7,139件、うち約2割（22.3%）が不正アクセスによるものです。漏えいの疑いが生じた時点で、監督当局への報告、本人への通知、調査と是正、原因の説明が必要になります。最終報告の期限は通常30日（不正アクセスによるものは60日）です。

さらに委員会は年次報告書で、繰り返し現れる3類型の不備を明確に指摘しています。VPN機器やECアプリに修正プログラムが出ているのに適用されていない、アカウントのパスワードが単純すぎる、データベースのアクセス制御の設定が不適切。この3つは、どれも「何を買ったか」では解決できません。

1件の漏えいのコストは、法務、広報、カスタマーサポート、株主への説明にまで及びます。IT部門の残業だけでは済みません。

7. 企業が本当に守るべき5つの門

最初のたとえに戻ります。1棟のビルの安全は、決して1つの門では決まりません。

① エントランスの入退室管理・エレベーター対応 Webサイト、PHP、対外業務システム影響見知らぬ人がそのまま上階へ上がり、顧客情報が持ち出される弊社外部侵入口の診断：資産棚卸し、バージョンとEOL、コンポーネントとCMSのぜい弱性

② フロア間の防火扉対応内部ファイアウォール（FortiGate など）影響 1か所が破られると、館内全体へ被害が広がる弊社ポリシーの整理、セグメント分離、必要な門だけを開ける

③ 機械室の扉・金庫対応サーバー、NAS、データベース影響データが暗号化され、持ち出され、業務が止まる弊社パッチとライフサイクル、権限の最小化、ログ、切り戻せるバックアップ

④ 廊下・通用口対応 LAN、Wi-Fi、VPNのリモート接続影響正面のチェックをすべて回避される弊社接続管理、来訪者用の分離、二要素認証、弱いパスワードの一掃

⑤ 社員証対応アカウント、権限、パスワード影響「身内」の立場を悪用される弊社アカウント統制、退職時の回収、不審なログインの検知

もう1つ、厳密には門ではありませんが、欠かせないものがあります。常駐監視・インシデント対応です。24時間の監視だけでなく、事故が起きた後の緊急対応まで含みます。門をどれだけ直しても、明日にはまた新しいぜい弱性が現れます。いざという時に、侵入口を即座に遮断し、バックドアを除去し、業務を復旧させ、監督当局への報告や顧客への通知まで並行して進められる人が必要です。

現実に最も多いのは、「機器を買っていない」ことではなく、買ったのに誰も管理していないことです。

·Webサイトのパッチはまめに当てているのに、内部ファイアウォールは「全通し」のままで、1台のPCがやられると機械室まで一気に燃え広がる。

·ファイアウォールは上位モデルを買ったが、ログは誰も見ていない——監視カメラを設置しても、画面を見る人がいない状態。

·サーバーは機械室で何年も動いており、パッチもデータベースのバージョンもアカウント権限も、誰も説明できない。

·VPNアカウントが「user01／パスワードは社名」のまま。

ひと言で覚えてください。攻撃者は、あなたが最も厳しく守っている場所からは入ってきません。あなたが管理を忘れた門から入ってきます。

8. 経営層の皆様への3つのご提案

①「サイトが開く」ことは、安全の証明ではありません。アクセスできることは、入退室管理が健全であることを意味しません。PHP2Shellのようなぜい弱性では、ページは普段どおり開き、その裏で任意のコードが実行できる状態になります。

②「IT部門がきちんとやっている」ことも、無事の証明ではありません。今回壊れたのは基礎であって、内装ではありません。ローソンの侵入口はアプリの会員システム、JR東日本は委託先のメールサービス、大和証券は委託先のFAQシステムでした。どれも「基幹システム」の一覧には載っていないものです。

③セキュリティはコスト項目ではなく、経営リスクへの保険です。資産棚卸し、パッチ、ファイアウォールの整理、監視と訓練に毎年かける予算は、事故後の賠償、顧客の信頼喪失、ニュースの見出しになることより、はるかに安くつきます。GMOの件では、賠償と見舞金のほかに、もっと高価なものがありました。政府に助けを求めることを、公に表明しなければならなかったのです。

9. 最後に：緩衝期間は終わりました

この20年、日本は「よそ者には私たちの言葉も読めず、私たちのコードも読めない」ということに支えられてきました。それは実力ではなく、環境が与えてくれた緩衝です。その緩衝は、今年で期限が切れました。企業を支え続けるのは、ある1つの門が特別に頑丈であることではありません。入退室管理、防火扉、機械室の扉、廊下の監視、常駐監視——その一つひとつに、管理する人、見る人、直す人がいることです。

関連記事：AIによる「日本語の壁」崩壊がサイバー攻撃急増の一因か！？——言語という緩衝材が崩れた意味を別の角度から整理しています。／経営者が押さえるべきランサムウェア対策：七つ打ち手と優先順位——守る側の実務を優先順位の形でまとめています。

自社の「5つの門」は、いまどういう状態でしょうか。まずは資産の棚卸しとリスク診断から承ります。WebサイトとPHPのバージョン、ファイアウォールのポリシー、サーバーのパッチ、アカウントとバックアップを、一度に整理してお示しします。無料IT健康診断を予約する公式サイト予約ページhttps://www.ez-net.com.cn/contact-us/※ 長押しでURLをコピーし、ブラウザで開いてください（公式アカウントのメニューからも移動できます）

EZ-net IT Solution ｜ IT記事｜経営者の皆様向けに、技術内容は平易な表現に置き換えています

EZ-net@IT研究所 — 迅速・専門・安心・多言語ITセキュリティは「コスト」ではなく、未来を守る「投資」です。

💬 メール💻 Apple🛡️ EDR🔥 FortiGate🔧 ITメンテナンス💻 仮想化サーバ🛡️ IP-guard💬 企業版微信🪟 Microsoft⚠️ ランサムウェア🔒 情報漏洩防止🛡️ サイバーセキュリティ

EZ-netでは様々なITに関するニュースを更新しております。何かお困りなことがありましたらお気軽にご相談ください。メールセキュリティ分野では、20年間にわたりメールクラウドセキュリティソリューションに携わってきました。500社以上の顧客サービスの経験を積んでおり、企業のメールサーバーを守るお手伝いを致します。また、Fortigate 次世代ファイアウォールによるネットワーク防御・IPG 情報漏洩対策、Lenovo Cloud 活用および AI業務自動化ソリューションの導入支援も承っております。日本語・中国語のバイリンガル対応により、在中日系企業様のIT課題をワンストップでサポートいたします。製品の詳細や見積もり、サポートサービスについてお問い合わせいただければ、弊社の営業担当者が迅速にご対応いたします。