企業を狙ったサイバー攻撃に関する報道が連日続き、国内の主要企業が相次いで被害を公表しています。通信大手KDDIが提供するメール基盤では、メールアドレス約1,223万件、パスワード約761万件が流出しました。スカイチケット運営会社でも約1,400万件の情報が漏えいしたとされ、焼肉きんぐ運営会社で約1,078万件、第一興商で約872万件、ブックオフグループホールディングスで最大約643万件の漏えいが確認されています。
JR東日本では、クラウド基盤への攻撃の影響により、メール配信環境が最大約206万件影響を受け、子会社を含めると最大約600万件の情報漏えいが生じたとされています。
いずれも全国的に知名度の高い企業であり、被害の規模と社会的影響の大きさが際立っています。
こうした攻撃が急増している背景には、手口の高度化と企業のデジタル依存の進展があります。企業活動の多くがクラウドや外部サービスに支えられるようになり、攻撃者はその構造的な弱点を突いています。クラウド基盤や外部委託先の残存アカウントを悪用し、複数企業へ横断的に侵入する手法が広がっています。Webサービスやアプリの設定不備を突いた情報取得、APIへの不正リクエスト、認証情報の窃取など、侵入経路は多様化し、従来の境界防御では把握しきれない領域が増えています。
生成AIの普及も攻撃の巧妙化を後押ししており、自然な文章を用いたフィッシングや精度の高い偽サイトが容易に作成されるようになりました。従来の防御策では検知が難しいケースが増えており、警察庁の調査でもランサムウェア被害の報告件数が前年比で大幅に増加しています。
近年は生成AIが企業サイトの脆弱性探索を自動化し、攻撃者が高度な技術を持たずとも侵害を試みられる環境が整いつつあります。AIが公開情報を解析して攻撃可能な箇所を抽出し、攻撃コードを生成する事例も確認されており、企業は従来以上に迅速な対策が求められています。
こうした状況を踏まえると、企業は従来型の対策だけでは十分とは言えなくなりました。正規アカウントの悪用を防ぐため、多要素認証や条件付きアクセスの導入が不可欠です。委託先やクラウド事業者を含めたサプライチェーン全体のセキュリティ管理を強化し、脆弱性の把握と定期的な監査を行う必要があります。生成AIを悪用した攻撃に備え、従業員教育の徹底や権限を持つ部署への訓練も重要です。インシデント発生後の事後対応に偏らず、中期的なセキュリティ計画を策定し、予算・人材・運用体制を一体で整備することが求められます。
サイバー攻撃は事業継続を直ちに脅かす重大な経営リスクです。攻撃の巧妙化と自動化が進む現在、企業は自社が常に標的となり得るとの前提に立ち、技術・人材・組織を一体で整備する総合的な対策を早急に進める必要があります。
