昨年は9月のアサヒグループホールディングス、10月のアスクルへのサイバー攻撃が話題となったが、今年に入り被害は急増、10月時点で既に去年を上回っている。
この1ヶ月だけでもニチレイ、タイムズカー、ヤマト運輸、日本経済新聞、コミックシーモア、ソースネクスト、バーガーキング、マツダ、日本郵便、ローソン、ブックオフ、シチズン、大和証券、佐川急便など、有名企業の情報漏洩のニュースが連日報じられている。
2026年1月から10月15日までに公表された事案159件で、漏えいした可能性のある個人情報の合計はのべ1億6,500万人分と日本の人口を上回っており、2024年の1年間356万人分、2025年3,345万人分に比べても急増している。
また、昨年に比べて今年増加した分の2/3は従業員300人以下の中堅中小企業で、大企業、有名企業だけが狙われているわけではなく、無差別に攻撃されていることが窺われ、全ての企業がサイバー攻撃対策を行う必要が出てきた。
■対策
今の状況をみると、攻撃にAIが使われていることが窺われるが、AIエージェントが得意とする手当たり次第の攻撃が行われていると考えられる。
この手法はとにかく鍵のかかっていないドアや窓を片っ端から探し、開いている所を見つけたら侵入する空き巣のようなもので、長い間放置されている古いシステムやサービス窓口などが特に危険で、自社のシステムを総点検して使われていないものは削除していくなどの対応が必要だ。
また、「クラウドを使用しているから安全」ということはなく、ニュースで報道されている大手の情報漏洩もほとんどはクラウド上にあるものだし、身近でも大手クラウドサービスに侵入された事例もある。
自社での対策は警察庁の「ランサムウェア被害防止対策」や、IPAの「中小企業の情報セキュリティ対策ガイドライン」を参考にしていただきたいが、特に気をつけたいのが退職者のアカウント、使っていない遠隔接続、以前の委託先が持つ管理権限、担当者しか存在を知らないサービスなどだ。
パスワードに加えて、認証アプリやセキュリティキーなどで本人を確認する多要素認証も、会社のメール、ファイル共有、VPN、クラウドの管理画面で必須化し、未設定の利用者や例外が残っていないかを確認することも大事だ。
万が一侵入された場合の対応策についても、データのバックアップや被害を広げない構成と監視を整えておくことが重要だ。
サイバー攻撃の被害は他人事ではなく、いつでも自社に襲いかかってくるものと考え、対策と対応をすぐに検討する必要がある。
======== DATA =========
●警察庁「ランサムウェア被害防止対策」
https://www.npa.go.jp/bureau/cyber/countermeasures/ransom.html
●独立行政法人情報処理推進機構（IPA）「中小企業の情報セキュリティ対策ガイドライン」
https://www.ipa.go.jp/security/guide/sme/about.html
