不正アクセス被害の発表が相次ぐ中、背景に自律的に業務を遂行する「AIエージェント」を悪用した攻撃がある可能性が指摘されている。運転免許証の画像が漏えいしたタイムズカーシェア、1000万件を超える情報漏えいが明らかになった焼肉きんぐ、ポイントの不正換金につながったGMOインターネットグループの子会社など、さまざまな企業やサービスで被害が報告されている。
事案の詳細
記事は、2026年10月8日時点で不正アクセス被害の発表が止まらない状況を取り上げている。報道された事例には、タイムズカーシェアにおける運転免許証画像の漏えい、焼肉きんぐにおける1000万件超の情報漏えい、GMOインターネットグループの子会社で発生したポイントの不正換金などが含まれる。
一連の攻撃を巡っては、自律的に業務を遂行するAIエージェントが悪用されている可能性が取り沙汰されている。ただし、現時点では詳細なレポートなどが公開されておらず、個々のインシデントでAIが実際に使われたと断定できる状況ではない。
サイバー能力の高い生成AIモデルとして、「Claude Mythos」や、そのプレビュー版に匹敵する性能とうたわれる「GLM-5.3」などの登場が挙げられている。アカマイ・テクノロジーズでWebセキュリティの動向を追う中西一博氏は、個々のインシデントについて攻撃へのAI利用を外部から断定できないとしつつ、攻撃の特徴から「使われていないと考える方が不自然」との見方を示した。
一方、各事案について、AIエージェントの利用を裏付ける具体的な証拠、侵入経路、攻撃者、被害の全容などの詳細は現時点で不明である。
影響と背景
運転免許証画像や大量の顧客情報の漏えい、ポイントの不正換金など、被害は個人情報と金銭の双方に及んでいる。複数の企業・サービスで被害発表が相次いでいることから、不正アクセスは単発の問題ではなく、幅広い組織に影響する継続的な脅威となっている。
AIエージェントが攻撃に悪用されれば、情報収集や標的選定、認証情報の試行などを自動化し、従来より高速かつ大規模に攻撃できる可能性がある。ただし、今回報じられた個別事案でAIが実際に使われたかどうかは確認されていない。
対策・今後の展望
AIを利用した攻撃の有無を現時点で断定できないとしても、組織側には、侵入を防ぐ対策に加え、侵入の兆候を早期に把握し、被害の拡大を防ぐ体制が求められる。特に、多要素認証の導入、不要なアカウントや権限の削除、認証ログの監視、異常なアクセスに対する即時対応手順の整備が重要になる。
今後、各事案の調査報告や技術的な分析が公表されれば、AIエージェントを含む攻撃者側の自動化技術がどの程度使われたのか、より具体的に明らかになる可能性がある。
CSRIからの現場アドバイス
【観点①：現場で何が起きているか】CSRIが支援する中小企業のMDR運用や診断の現場では、外部公開されたログイン画面への大量試行や、短時間に多数のIPから同じアカウント名が狙われるアラートが目立つ。実際の診断では、特権IDの棚卸し未実施や、退職者アカウントの残存が未対策のまま放置されている例が少なくない。
【観点②：専門家でない人への平易な解説】例えるなら、鍵穴に合う鍵を人が一本ずつ試すのではなく、機械が一瞬で何万本も試すようなものだ。つまり「人間の手作業では追いつかない速さ」で入口を探される可能性がある、ということになる。だからこそ、見つかりやすい入口を減らし、異常に早く気付ける状態が重要だ。
【観点③：中小企業が今週中にできること】まず社内で使っていないアカウントが残っていないか、退職者・委託先のIDを含めて確認し、不要なものは停止する。次に、重要システムのログインに二段階の確認を入れているかを担当者に確かめ、未設定なら優先度を上げて設定する。最後に、ログイン失敗が急増した際の連絡先と初動手順を総務・情シスで共有し、気付いたら即時に止められる体制を整える。