なぜ今、情報漏えいは同時多発するのか──AI時代の攻撃構造とランサムウェアとの「時間差」、いまできる最低限の対策

　国内外で情報漏えいの公表が相次いでいます。背景には、AIによる攻撃の低コスト化・高速化と、既知の脆弱性を放置した組織が機械的に拾われる構造があります。一方で、漏えいのすべてがランサムウェア被害としてセットで現れているわけではありません。本稿では、2026年10月25日時点での公開統計・レポートをもとに、情報漏えいが同時多発する理由、ランサムウェアとの時間差が生まれる理由、そして現場でいま取り組むべき最低限の対策を順に解説します。

なぜ今、情報漏えいが同時多発しているのか

AIにより攻撃が低コスト・高速になっている

　最初に押さえておきたいのは、攻撃の速度が数年前とは別次元になっている点です。CrowdStrikeが2026年2月に公表した「2026 Global Threat Report」によると、2025年のeCrime（金銭目的の犯罪者）の平均ブレイクアウトタイム（最初に侵害した端末から組織内の別端末へ横展開するまでの時間）は29分でした。2021年の98分と比べると、約70％の短縮です。観測された最速事例は27秒で、初期アクセスからわずか4分でデータの持ち出しが始まった侵害も確認されています。

　同レポートでは、攻撃者によるAIを活用した攻撃活動が前年比89％増加したと報告されています。AIは偵察、認証情報窃取、検知回避などの工程に組み込まれ、技術力の低い攻撃者を底上げしたと評価されています。具体例は次のとおりです。

• ロシア系のFANCY BEARが、LLMを組み込んだマルウェア「LAMEHUG」で偵察と文書収集を自動化
• eCrimeアクターのPUNK SPIDERが、AI生成スクリプトで認証情報のダンプとフォレンジック痕跡の消去を高速化

　また、検知の82％がマルウェアを使わない攻撃（正規の認証情報やツールを悪用するもの）だったという点は、後述する防御策を考えるうえで重要です。

　GoogleのMandiantが2026年3月に公表した「M-Trends 2026」も同じ方向の変化を示しています。初期アクセスを得たグループが、ランサムウェアの実行などを担う別のグループへアクセスを引き渡すまでの時間の中央値は、2022年の8時間超から2025年には22秒まで短縮しました。Mandiantはこれを、初期アクセスの担当と二次グループとの連携が密になったこと、そしてフォーラムでの売買を経ずに自動化されたプロセスで引き渡されるようになったことの表れとみています。

　国内でも同様の認識が示されています。警察庁は、「令和8年上半期におけるサイバー空間をめぐる脅威の情勢等について」で、高性能AIの悪用により「サイバー攻撃がより高速かつ大規模に行われるリスクが懸念される」と記述しています。令和7年についても、生成AIを使ってフィッシングサイトや不正プログラムを作成した犯罪が発生していると指摘されています（国家公安委員会委員長記者会見要旨、2026年3月12日）。

　つまりAIは、まったく新しい攻撃を生み出すというより、既存の攻撃工程を自動化・高速化し、コストを下げる方向に大きく作用していると考えられます。偵察、フィッシング文面の作成、スクリプトの記述といった、かつては人手と時間がかかった作業が短時間で済むようになり、その分だけ攻撃の試行回数が増えるわけです。

世界で攻撃が増え、日本ではセキュリティ投資が追いついていない

　攻撃量の増加も複数の指標から確認することができます。CrowdStrikeのレポートでは、中国系攻撃者の活動が2025年に38％増え、北朝鮮系のインシデントが130％以上増加しました。M-Trends 2026では、Google Threat Intelligence Groupが新たに識別したマルウェアファミリーが2024年の632から2025年は714に増えています。

　日本国内の観測でも攻撃の量の増加は明確です。

• 警察庁センサーで検知した脆弱性探索行為などの不審なアクセス：令和7年に過去最多、令和8年上半期は前年同期比51％増（大部分が海外発）
• ランサムウェア被害報告件数：令和6年 222件、令和7年 226件、令和8年上半期 123件（半期として統計開始の令和2年下半期以降で最多）

　一方で、防御側の投資は十分に進んでいません。IPAの「2024年度 中小企業における情報セキュリティ対策に関する実態調査」（中小企業4,191社）では、直近過去3期に情報セキュリティ対策投資を行っていない企業が62.6％に上りました。2016年度調査の55.2％、2021年度調査の33.1％から増えています。投資しない理由の最多は「必要性を感じていない」（44.3％）で、必要性を感じていない理由として「重要情報を保有していない」（36.5％）、「サイバーセキュリティ被害にあうと思わない」（24.0％）が並びます。IPAは、自社が攻撃に遭う可能性や事業への影響を過小評価している可能性を指摘しています。

　大企業を含む調査でも、基本的な保守の遅れが見られます。NRIセキュアの「企業におけるサイバーセキュリティ実態調査2025」（日本1,263社、米国508社、豪州511社）では、日本企業のVPN利用率が84.2％と高止まりする一方、「最新のパッチ適用を完了」している企業は63.1％にとどまりました。警察庁の被害組織アンケートでも、社外からの業務アクセスの認証が「ID・パスワードのみ」の組織が39.8％を占めています。

　つまり、中小企業だけでなく大企業でもセキュリティに対する意識、それに伴うセキュリティに対する投資の意識も低いと言えます。

攻撃は、新規手法よりも既知の脆弱性の悪用が中心

　日本で実際に被害につながっている攻撃の多くが、ゼロデイ（修正パッチ公開前の脆弱性）のような新しい手法ではなく、既知の脆弱性や管理の不備を突いたものだという点です。

　最も直接的な根拠は警察庁の統計です。ランサムウェア被害組織の侵入経路は次のとおりです。

• 令和6年（有効回答100件）：VPN機器 55.0％、リモートデスクトップ 31.0％
• 令和7年上半期：VPN機器 62.2％、リモートデスクトップ 22.2％
• 令和7年通年：VPN機器が6割以上

　警察庁は手口を、未修正のぜい弱性、漏えいした認証情報や簡易なパスワード、設定不備等を悪用したものと説明し、標的型攻撃メールの添付ファイルによる感染は少なくなっているとしています。中小企業でも、IPAの2024年度調査で不正アクセスを受けた企業の約5割が脆弱性を突かれたと回答しています。

　海外の傾向も整合します。Rapid7の「Quarterly Threat Landscape Report Q2 2026」によれば、地下フォーラムで取引されていたCVE 23件のうち87％（20件）に公開PoC（概念実証コード）があり、39％（9件）はCISAのKEV（Known Exploited Vulnerabilities：実際に悪用が確認された脆弱性カタログ）に掲載済みでした。推奨策の筆頭も、SSL-VPNやRDPゲートウェイなどインターネットに面した機器の棚卸しとパッチ適用です。

　一方、世界で見るとゼロデイの悪用も増えています。CrowdStrikeは2025年に悪用された脆弱性の42％が公開前に悪用されたと報告しています。M-Trends 2026でも最多の初期侵入経路は「エクスプロイト」（32％）で、SAP NetWeaver（CVE-2025-31324）、Oracle EBS（CVE-2025-61882）、SharePoint（CVE-2025-53770）などが上位に挙がっています。ただし、これらも公開後は短期間で既知の脆弱性になり、未対応の組織が狙われ続けます。

　つまりゼロデイによる被害だけが主ということではなく、日本で実害につながる入口の多くは既知の脆弱性と認証の弱さで説明できるということです。

低コスト化で「とりあえず攻撃してみる」が盛んになっている

　ここまでの要素を組み合わせると、攻撃者の経済的な合理性が確認されます。AIや自動化ツールにより、偵察とスキャンのコストはほぼゼロに近づいています。よって、攻撃の手法として、インターネットに露出したVPN機器やRDPを機械的に探します。次に、見つかった機器に既知の脆弱性や漏えい済みのパスワードを試し、侵入が可能な状態か試行します。標的となる組織を選んでから攻める方式と比べ、隙のある多数の組織を自動で拾い集める方が合理的なのです。

　警察庁もランサムウェア攻撃は基本的に金銭目的であり、攻撃者は侵入する隙のある標的を探して攻撃を行うと説明しています。探索行為の前年同期比51％増は、この隙を探す行為が増えていることの傍証と考えられます。さらに警察庁は、RaaS（Ransomware as a Service：サイバー犯罪のビジネスモデルの1つであり、ランサムウェア攻撃に必要なランサムウェア本体や身代金要求のためのインフラなどをサービスとして提供するもの）の普及により、高度な技術を持たない者でもランサムウェア攻撃を実行できるようになっていると指摘しています。

　この構図では、日本企業が特別に選ばれているというより、未修正のVPN、ID・パスワードだけの認証といった条件を満たす組織が機械的に拾われていると考えられます。そして、こうした条件を満たす組織が日本に相対的に多いことが、日本が狙われているように見える一因になっていると推測できます。