「サイバー攻撃にもAIが使われるようになった？」
生成AIというと、文章作成や資料作成など、仕事を効率化する便利な技術を思い浮かべる方も多いのではないでしょうか。
しかし、AIの技術はサイバー攻撃にも悪用されています。
2026年10月23日、国内のサイバーセキュリティ専門機関「JPCERT/CC」は、不正アクセスに関する注意喚起を更新し、AIを活用した侵入テスト用ツールが、実際の攻撃試行に悪用されていることを明らかにしました。
攻撃の対象には、Webアプリケーションやサーバーの管理機能なども含まれています。
今回は、AIを悪用した攻撃とはどのようなものなのか、そして中小企業はどのような対策をすべきなのかを、DX担当ちゃま男と先輩の会話を交えてわかりやすく解説します！
JPCERT/CCが警告した「AIを悪用した攻撃」とは？
DX担当 ちゃま男先輩！AIがサイバー攻撃にも使われているって聞きました！
AIが勝手に会社のシステムを攻撃するんですか？
ちゃま男の先輩今回確認されたのは、AIを利用するセキュリティ検査用のツールが、攻撃者に悪用されたケースなんだ。
AIが何でも自動で攻撃するという話ではないけれど、システムの弱点を探す作業に使われていることが確認されているよ。
2026年10月23日の注意喚起で何が発表された？
JPCERT/CCは、2026年10月8日に国内で相次ぐ不正アクセスについて注意喚起を公開しました。
その後、10月23日に情報を追加し、新たな攻撃手法として「AIを用いたペネトレーションテスト基盤を悪用した攻撃試行」を紹介しました。
ペネトレーションテストとは、企業の許可を得てシステムに攻撃を模した操作を行い、安全性を検査することです。
本来はセキュリティを高めるための技術ですが、攻撃者が同様のツールを悪用することもあります。
今回確認されたものには、Cairn、CyberStrikeAI、ARTEXといったAIを利用するツールが含まれています。
具体的にどんな攻撃が確認された？
JPCERT/CCによると、主にインターネット上に公開されているWebアプリケーションなどに対し、次のような攻撃が試みられています。
- ソフトウェアの既知の弱点を探索する
- サーバーの設定不備を調べる
- 外部からアクセスできる設定ファイルやバックアップファイルを探す
- 管理用システムに対する不正アクセスを試みる
Windowsの更新プログラムを管理するWSUSサーバーへの攻撃試行も確認されています。
ただし、今回公表された複数の不正アクセス事案が、すべてAIを利用した同じ手法で発生したわけではありません。
出典：JPCERT/CC｜国内組織における不正アクセスに関する注意喚起
なぜAIを使ったサイバー攻撃が注目されるのか？
システムの弱点を探す作業を支援できる
例えば、ある会社のWebシステムに、古いソフトウェアや設定ミスが残っているとします。
従来から攻撃者は、こうした弱点を探すために自動化ツールを使ってきました。
AIを組み合わせることで、調査結果の整理や次の確認対象の選定など、一部の作業を効率化できる可能性があります。
つまり、AIによってサイバー攻撃のすべてが新しくなったのではありません。
これまで存在していた攻撃手法が、AIによってさらに効率化される可能性があるという点が重要です。
「社内向けシステム」も標的になる
JPCERT/CCの注意喚起では、一般利用者向けサービスだけでなく、従業員向けの管理システムやBIツールなどが被害に遭うケースにも言及しています。
BIツールとは、会社のデータを集計し、グラフなどで分析するためのシステムです。
DX担当 ちゃま男えっ！一般のお客さんが使わない社内システムなら、安全だと思っていました！
ちゃま男の先輩社内向けでも、インターネットから接続できる設定になっていれば、外部から攻撃を受ける可能性があるんだ。
「社内の人しか使わないから大丈夫」という思い込みは危険だよ。
中小企業ではどんなシステムに注意すべき？
① 社外から利用できる業務システム
例えば、営業担当者が外出先からアクセスする受注管理システムや、取引先との情報共有システムなどです。
インターネット上に公開している場合、アクセス制御やシステムの更新状況を確認する必要があります。
② 外部システムと連携するAPI
APIとは、異なるシステム同士でデータをやり取りするための仕組みです。
例えば、受注管理システムから生産管理システムへ情報を送る場合などに利用されます。
今回のJPCERT/CCの注意喚起では、APIを通じた不正な操作も取り上げられています。
AIを悪用した攻撃とは別の手法も含まれますが、APIの権限設定や認証情報の管理は重要な対策です。
③ サーバーの管理画面
Webサーバーや社内システムの管理画面が、必要以上に外部公開されていないか確認しましょう。
管理者だけが使う機能は、必要な人やネットワークからのみアクセスできる構成にすることが重要です。
中小企業が今すぐ確認したい5つのセキュリティ対策
DX担当 ちゃま男先輩！AIを使った攻撃なんて、専門のIT担当者がいない会社では防げないんじゃないですか？
ちゃま男の先輩そんなことはないよ。
今回の注意喚起でも、まずは既存の弱点や管理不備を減らすことが重要なんだ。
優先度1：外部公開しているシステムを洗い出す
まず、会社がインターネット上に公開している主なシステムを確認しましょう。
対象例は次のとおりです。
- 会社のWebサイト
- 外部から利用する業務システム
- VPNなどのリモートアクセス機器
- Webアプリケーションの管理画面
- 外部連携用のAPI
VPNは、社外から社内ネットワークなどへ安全に接続するための仕組みですが、接続用の機器やサービス自体にも適切な管理が必要です。
どのシステムを誰が管理しているのか、一覧にすることから始めましょう。
優先度2：古いソフトウェアを更新する
システムの弱点である「脆弱性」が修正された場合、更新プログラムを適用することが重要です。
特に、インターネットに公開しているシステムは優先的に確認しましょう。
ただし、業務システムを更新する際は、互換性や動作への影響も確認してください。
優先度3：不要な管理画面の公開を停止する
社内の担当者しか利用しない管理画面が、誰でもアクセスできる状態になっていないか確認します。
不要な公開を停止したり、アクセス元を制限したりする方法が考えられます。
優先度4：APIの認証情報と権限を確認する
APIキーやトークンは、システム同士が連携する際に使う認証情報です。
必要以上に強い権限を与えていないか、長期間使われていない認証情報が残っていないかを確認しましょう。
また、短時間に大量のアクセスが行われた場合に制限する「レート制限」も有効な対策の一つです。
これらはシステムの開発会社や保守会社と協力して確認するのが現実的です。
優先度5：異常が発生した際の連絡先を決める
不審なアクセスが確認された場合、誰に連絡し、どのような対応を取るかを決めておきましょう。
例えば、システム管理者、保守会社、経営責任者などです。
攻撃が疑われる場合は、調査に必要なログを不用意に消さず、専門家と連携して対応することが重要です。
対策の優先順位と難易度
| 対策 | 優先度 | 難易度 |
|---|---|---|
| システム・管理者の一覧化 | 最優先 | 低 |
| 更新状況の確認 | 高 | 低〜中 |
| 不要な外部公開の見直し | 高 | 中 |
| API権限・アクセス制御の点検 | 高 | 中〜高 |
| 不審なアクセスの検知・調査体制 | 高 | 中〜高 |
※難易度は一般的な目安です。システム構成によって異なります。
IT管理に不安がある場合は、保守会社に「外部公開されている管理画面やAPIがないか」を確認するところから始めるとよいでしょう。
企業が参考にしたい公的機関の資料
IPAでは、中小企業向けにセキュリティ対策のガイドラインを公開しています。
2026年に公開された第4.0版では、バックアップを含めた基本的なセキュリティ対策や、実践的な取り組み方が整理されています。
また、JPCERT/CCの注意喚起では、確認された攻撃手法と推奨対策が詳しく紹介されています。
まとめ｜AI時代でも基本的なセキュリティ対策が重要
今回のJPCERT/CCの注意喚起では、AIを用いた侵入テスト基盤が、サイバー攻撃に悪用される事例が確認されました。
AIが進化することで、攻撃の方法や効率が変わっていく可能性があります。
しかし、中小企業が最初に取り組むべきことは、決して特殊なものばかりではありません。
古いソフトウェアを更新する、不要な管理画面を公開しない、アクセス権限を適切に管理する。
こうした基本的な取り組みが、サイバー攻撃への備えにつながります。
「うちは小さな会社だから狙われない」ではなく、「自社のシステムに管理できていない弱点はないか」を確認すること。
それが、AI時代のセキュリティ対策の第一歩です。
関連記事
※本記事は2026年11月3日時点の公開情報に基づいています。攻撃手法や影響範囲は、今後の調査によって更新される可能性があります。
