この秋、日本企業を狙ったサイバー攻撃のニュースが続いています。
9月にはカーシェアサービスの会員情報約660万件が不正アクセスで取得され、10月にはクラウド事業者がランサムウェア攻撃を受けて約500の企業・自治体のサービスに影響が出ました。
さらにその背後では、生成AIが攻撃者の「道具」として本格的に使われ始めていることが、国内外の報告から見えてきています。
私たちLAUGHSは動画・Web制作の会社ですが、WebサイトやECサイト、YouTubeチャンネルの運用を支援するなかで、「セキュリティはどこまでやればいいのか」というご相談をいただく機会が増えてきました。
そこで今回は、国内の統計と海外の脅威インテリジェンス（攻撃動向の調査報告）、そしてOSINT（公開情報を使った調査）の視点から、日本企業が狙われやすいポイントと、今取り組むべき対策を整理します。
※本記事は2026年10月中旬時点の公開情報をもとにしています。
個別の事案は調査中のものも含むため、最新情報は各社・各機関の公式発表をご確認ください。
数字で見る、日本のサイバー被害の現状
まずは国内の状況です。
警察庁が2026年9月に公表した「令和8年上半期におけるサイバー空間をめぐる脅威の情勢等について」によると、2026年上半期のランサムウェア被害の報告件数は123件。半期の件数としては、統計を取り始めた2020年下半期以降で最多となりました。
- 被害の内訳は中小企業が79件と、全体の6割以上を占める
- 業種別では製造業が37件で最多。卸売・小売業、情報通信業、医療・福祉なども続く
- 侵入経路として最も多いのはVPN機器など、インターネットに公開された機器
- 警察庁のセンサーが検知した脆弱性探索などの不審なアクセスは、1日・1IPアドレスあたり約1万3,687件で、前年同期比で約5割増
つまり、「大企業だけが狙われる」時代はとうに終わり、規模に関係なく、ネットにつながっている機器は常に探索されているのが現実です。
国内でも相次ぐ「AI悪用」の事件
日本国内でも、生成AIが犯罪に使われたとして摘発されるケースが出てきています。
- 2024年：プログラミングの専門知識を持たない人物が、生成AIを使ってランサムウェアに似たウイルスを作成したとして逮捕された事件（生成AIを悪用したウイルス作成の摘発として、国内で大きく報じられました）
- 2025年：中高生が対話型AIを悪用してプログラムを作成し、他人のIDを使って通信回線を不正に大量契約したとして逮捕された事件
- 2026年1月：生成AIで女性芸能人の画像をもとに性的なディープフェイク画像を作成し、有料で閲覧させていたとして逮捕された事件
これらに共通するのは、高度な専門知識がなくても、AIの力を借りれば「それなりに動くもの」が作れてしまうという点です。
攻撃の担い手が広がっていることは、企業にとって無視できない変化です。
海外の脅威レポートが示す「AI×攻撃」の最前線
「高度な攻撃に、高度な攻撃者はもう要らない」
AI企業のAnthropicは2026年9月、2025年12月〜2026年8月に同社が検知・阻止したAIの悪用事例をまとめた脅威レポートを公開しました。
その中心的な指摘は、AIによって攻撃が「自律化」しつつあるということです。
報告では、人が標的を決め、AIエージェントが偵察から実行までを進める事例や、検知されるとAIがマルウェアを書き換えて再投入する事例が紹介されています。
レポートは、高度な攻撃にもはや高度な攻撃者は必要ない、という趣旨の警鐘を鳴らしています。
同レポートではもう一つ、企業にとって見落としがちなリスクが強調されています。それがAIサービスのAPIキー（利用のための認証情報）の窃取です。盗まれたAPIキーは、攻撃者の「無料の計算資源」や「身元を隠す隠れ蓑」として悪用されます。
レポートは、AIのAPIキーやエージェント連携を本番環境の認証情報と同じ重みで扱うこと、AIサービスは正規の経路で契約することを推奨しています。
AIで作られた攻撃ツールが、日本企業にも
Googleの脅威インテリジェンスグループ（GTIG）も、AIで開発されたとみられるゼロデイ脆弱性（未修正の弱点）の悪用を確認したと2026年に公表しており、攻撃側のAI活用が「実験段階」を過ぎたことを示しています。
日本に直結する話としては、Cisco Talosが2026年上半期の日本向けランサムウェア動向を分析した報告があります。
各種まとめによると、日本で活発だった攻撃グループに関連するツール群の一部が、大規模言語モデル（LLM）の支援を受けて作られた可能性が高いと評価されました。
その中には、社内のアカウント管理基盤（Active Directory）を破壊するスクリプトや、バックアップソフトを無効化するスクリプトが含まれていたとされています。「バックアップがあるから大丈夫」という前提そのものが狙われているわけです。
OSINTの視点で見ると、日本企業はどう「見えて」いるか
OSINT（Open Source Intelligence）とは、公開されている情報を集めて分析する手法です。
防御側も使いますが、攻撃者にとっては「標的選び」の第一歩でもあります。
海外の研究者や攻撃者の視点に立つと、日本企業には次のような「見えている弱点」があります。
1. ネットから見える機器・管理画面
インターネット上の機器を検索できるサービスを使えば、古いバージョンのVPN機器や、公開されたままのサーバー管理画面・CMSのログイン画面は、外部から簡単に見つかります。
警察庁の統計でVPN経由の侵入が最多であることは、まさにこの状況を裏付けています。
2. 漏れた社員のID・パスワード
PCに感染して保存済みのID・パスワードを盗む「インフォスティーラー」と呼ばれるマルウェアの被害データは、海外のアンダーグラウンド市場で流通しています。
海外のランサムウェア追跡サイトや調査企業のデータでは、日本企業のドメインに紐づく社員・利用者の認証情報の流出状況が確認できるケースもあります。社員の私物PCや自宅PCでの業務ログインが、侵入口になる可能性があるということです。
3. 「日本語の壁」の消失
かつては、不自然な日本語が詐欺メールを見分ける手がかりになっていました。
しかし生成AIの普及で、自然な日本語のフィッシングメールや、取引先を装った文面を作ることは格段に容易になっています。
企業サイトやSNS、採用ページなどで公開されている組織情報・担当者情報と組み合わせれば、もっともらしい「なりすまし」が成立しやすくなります。
4. 本人確認書類の画像と、ディープフェイク
9月の不正アクセス事案では、約160万件の運転免許証などの本人確認書類の画像が漏えいしたとされています。
こうした画像は、AIによる顔画像の加工と組み合わせることで、オンラインでの口座開設などに悪用されるおそれがあります。
金融庁は2026年10月9日、金融機関などに対し、委託先を含むセキュリティ対策の点検や、2027年4月1日の制度変更を待たずに、書類画像の送付ではなくICチップを読み取る本人確認方式へ早期移行するよう要請しました。
サーバーセキュリティで、特に懸念されること
Webサイト制作・運用に関わる立場から、とくにお伝えしたいのがサーバーまわりのリスクです。
「クラウドに預けているから安心」ではない
10月に起きたクラウド事業者へのランサムウェア攻撃では、約500の企業・自治体のWebサイトや業務システムが利用できなくなりました。
同社の続報では、一部ゾーンの顧客データについて当初は取り出しや復元が困難な見通しとされ、その後、スナップショット機能を使っていた194の顧客についてバックアップの取り出しが可能になったと発表されています。
自社のデータがどこに、どんな形で、誰の管理下にバックアップされているか。
この差が、復旧の可否を分けることがあります。
放置されたCMS・プラグイン・管理画面
WordPressなどのCMSは便利な一方、本体やプラグインの更新が止まったまま運用されているサイトも少なくありません。
管理画面のログインに多要素認証がない、使っていない管理者アカウントが残っている、といった状態は、攻撃者にとって格好の入口になります。
「持っている必要のないデータ」を持ち続けるリスク
9月の事案では、退会済みの元会員の情報まで漏えいの対象になりました。
保有しているデータは、漏えいしたときの「被害の上限」でもあります。
不要になった個人情報や本人確認書類の画像を削除するルールがあるかどうかは、改めて確認しておきたいポイントです。
AIのAPIキーがコードやサーバーに置きっぱなし
社内ツールやWebサービスに生成AIを組み込む企業が増えるなかで、APIキーがソースコードや公開サーバー上の設定ファイルにそのまま書かれているケースもあります。
前述のとおり、盗まれたAIのAPIキーは攻撃者に悪用され、高額な利用料の請求につながることもあります。
レンタルサーバーを使う中小企業が、とくに注意したいこと
日本の中小企業では、コーポレートサイトや採用サイト、メールを、エックスサーバーやさくらのレンタルサーバといった国内のレンタルサーバー（共用サーバー）で運用しているケースが多いと思います。
手頃な価格で始められ、サーバーの保守も任せられる便利なサービスですが、「レンタルだから安全」と考えてしまうと、思わぬ落とし穴があります。
懸念1：事業者側のインシデントは、大手でも起こりうる
2026年8月には、さくらインターネットが「さくらのレンタルサーバ」の一部環境への不正アクセスを公表しました。
同社の発表や報道によると、第三者が同社の管理環境を経由して一部利用者の環境に侵入し、583アカウントで不正ログインが確認され、一部サーバーにはマルウェアが設置されていたとされます。
その後の続報では、契約情報などを管理するシステムへの不正アクセスの可能性も示されました。
同社は認証情報の無効化やマルウェアの除去などの対応を行っています。
前述のクラウド事業者の事例と合わせて考えると、どれだけ大手の事業者であっても、事業者側でのインシデントはゼロにはできないということです。利用する側としては、「起きたときにどう動けるか」を前提に備えておく必要があります。
懸念2：「どこまでが事業者の責任か」の思い込み
共用サーバーでは一般的に、サーバー本体やOS、ネットワークの保守は事業者が担います。
一方で、その上で動くWordPressやプラグイン、テーマの更新、管理画面のパスワード、アップロードしたファイルの管理は、基本的に利用者側の責任です。
WordPressのプラグイン・テーマの脆弱性は、セキュリティ企業Wordfenceの週次レポートで1週間に数百件規模が報告されることもあり、「サーバーを借りているから大丈夫」とはいかないのが実情です。
懸念3：1つの契約に、複数のサイトが同居している
コーポレートサイト、採用サイト、過去のキャンペーンサイト、テスト環境……。
1つのサーバー契約に複数のサイトを載せていると、更新が止まった1つのサイトが改ざんされた場合に、同じアカウント内のほかのサイトやメールにまで影響が広がるおそれがあります。
「もう使っていないけれど消していないサイト」は、とくに狙われやすい入口です。
懸念4：アカウントの管理が「人」に依存している
サーバーの管理パネル、FTP、WordPressの管理者、メールアカウント。
これらのログイン情報を、退職した担当者や過去の制作会社がまだ持っていないでしょうか。
サーバー事業者からの重要なお知らせが、すでにいない担当者のメールアドレスに届いている、という例も珍しくありません。
また、管理パネルの2段階認証は、事業者によっては初期状態で無効になっていて、利用者が自分で設定する必要があります。
懸念5：バックアップが「同じ事業者の中」にしかない
レンタルサーバーの多くは自動バックアップ機能を備えています。
たとえばエックスサーバーは、Web・メールデータとデータベースを過去14日分（一部の旧サーバーでは7日分）自動でバックアップする機能を全プラン標準で提供しています。
ただし公式ページでは、バックアップの保証はしておらず、利用者自身でもバックアップを取ることが推奨されています。
事業者の環境そのものが攻撃を受けた場合や、改ざんに気づくのが14日以上遅れた場合に備え、事業者の外にも自社のバックアップを持っておくことが重要です。
レンタルサーバー利用企業のための対策チェックリスト
- 管理パネルの2段階認証を有効にする：サーバー契約・管理パネル・ドメイン管理のアカウントは、最優先で設定する
- 事業者が提供するセキュリティ機能を確認する：WAF設定や海外からの管理画面アクセス制限など、用意されている機能が無効のままになっていないかを確認する
- WordPress・プラグイン・テーマ・PHPを最新に保つ：使っていないプラグインやテーマは停止ではなく削除する
- 使っていないサイト・テスト環境を削除する：同じ契約内の「放置サイト」をなくす
- アカウントを棚卸しする：FTP・WordPress管理者・メールアカウントを一覧化し、退職者や過去の委託先のアカウントを削除。FTPより暗号化された接続方式（SFTPなど）を使う
- バックアップを「事業者の外」にも置く：定期的にサイトとデータベースを別の場所に保存し、復元手順を確認しておく
- 事業者からのお知らせを確実に受け取る：連絡先メールアドレスを個人ではなく共有アドレスにし、障害・セキュリティ情報を確認する担当を決める
- 事業者でインシデントが公表されたら、すぐ点検する：パスワードの変更、身に覚えのないファイルや管理者アカウント、サイトの不審な変更、不審なメール送信がないかを確認する
今、企業が取り組むべきセキュリティ対策チェックリスト
最後に、規模を問わず今すぐ見直したい対策をまとめます。すべてを一度に行うのは難しくても、上から順に確認するだけで、リスクは大きく下げられます。
- 外から見える機器を棚卸しする：VPN機器、ルーター、サーバー管理画面、CMSのログイン画面など、インターネットに公開されているものを一覧化し、最新の状態に更新する。不要なものは公開をやめる。
- 多要素認証を「例外なく」導入する：VPN、メール、クラウド、CMSの管理画面、SNSや動画チャンネルの管理アカウントまで含めて徹底する。
- バックアップを「攻撃者から切り離す」：本番環境とは別の場所・別の権限で保管し、実際に復元できるかを定期的にテストする。クラウド利用時も、事業者任せにせず自社側でのバックアップ方針を決める。
- 不要なデータを持たない：退会者情報や本人確認書類の画像など、保管期限を過ぎたデータを削除するルールをつくる。
- AIの利用ルールと認証情報を管理する：社員が使ってよいAIサービスを決め、APIキーはコードに直接書かず、権限と利用上限を設定して管理する。非正規の「格安AI」サービスは使わない。
- 委託先・クラウド事業者を含めて点検する：自社だけでなく、制作会社、ホスティング事業者、外部ツールのセキュリティ体制や、障害時の連絡・復旧手順を確認しておく。
- 「自然な日本語」でも疑う教育をする：送金や認証情報の入力を求める連絡は、文面のもっともらしさではなく、別経路での確認を徹底する。
- 自社の「見え方」を定期的に確認する：自社ドメインに関わる情報漏えいがないか、公開されている情報から何が分かるかを、OSINTの視点で一度チェックしてみる。
まとめ：AI時代のセキュリティは「経営の土台」
- 2026年上半期のランサムウェア被害は国内で過去最多の123件。その6割以上が中小企業で、主な侵入口はVPN機器など外部公開された機器
- 海外の脅威レポートは、AIによる攻撃の自律化や、AIのAPIキーの窃取、AIで作られた攻撃ツールの存在を指摘している
- OSINTの視点では、公開機器、漏れた認証情報、「日本語の壁」の消失、本人確認書類の画像が、日本企業の弱点として見えている
- サーバー面では、クラウド依存のバックアップ、更新されないCMS、不要データの保有、AIのAPIキー管理に特に注意が必要
- レンタルサーバーを使う企業は、事業者側のインシデントも起こりうる前提で、管理パネルの2段階認証、放置サイトの削除、アカウントの棚卸し、事業者の外へのバックアップを見直したい
AIは、動画制作やWeb運用を大きく効率化してくれる心強い道具です。だからこそ、攻撃者も同じ道具を使っていることを前提に、守りの体制もアップデートしていく必要があります。
LAUGHSでは、YouTubeチャンネル運用支援や採用動画の制作に加え、EC・Webサイトの制作・運用にも携わっています。
「レンタルサーバーに古いサイトが残ったままになっている」「自社サイトのCMSやプラグインが最新か分からない」「チャンネルやサイトの管理アカウントの扱いを見直したい」「AIを業務に取り入れたいが、安全な使い方から整理したい」といったご相談があれば、お問い合わせページからお気軽にお声がけください。
現状を一緒に確認し、必要に応じて専門の事業者とも連携しながら、無理のない進め方をご提案します。