2026年秋、サイバー攻撃のニュースが急増しています
2026年秋は、国内でサイバー攻撃や情報漏えいの公表が相次いだ月でした。生活に身近なサービスや大手企業でも被害が出ており、「うちも狙われるのでは」というご相談を、私たちも中小・中堅企業の経営者様から多くいただくようになりました。
公表時期 | 組織 | 概要 |
|---|---|---|
2026年9月下旬 | パーク24（タイムズカー） | Webシステムへの不正アクセスで約660万件のアカウント情報が第三者に取得された |
2026年9月26日 | 京王電鉄（京王グループ） | グループのサーバーがランサムウェア攻撃を受け、一部グループ会社の営業システムに障害 |
2026年9月25日（第3報） | 両毛システムズ | 8月の不正アクセスがランサムウェア攻撃と確認。VPNアカウントが悪用され、業務を委託していた自治体やガス会社に影響が拡大 |
2026年9月3日 | 鳥取県 | 放射線モニタリング関連システムがランサムウェア被害 |
※出典は記事末尾に記載しています。
これらは大きく報道された一部にすぎません。実は、ランサムウェア被害の多くは中小企業で起きています。次の章で、公的機関のデータから現状を見ていきます。
数字で見る現状：ランサムウェア被害は過去最多、約6割が中小企業
警察庁が2026年9月に公表した資料によると、2026年上半期のランサムウェア被害報告は123件で、統計を取り始めた2020年下半期以降、半期として過去最多となりました。
項目（2026年上半期） | 数値 |
|---|---|
ランサムウェア被害報告 | 123件（半期で過去最多） |
うち中小企業 | 79件（大企業31件、団体等13件） |
業種別で最多 | 製造業 37件 |
主な侵入経路 | VPN機器が約5割 |
復旧費用 | 約6割の組織で1,000万円以上 |
また、IPA（情報処理推進機構）の「情報セキュリティ10大脅威 2026」組織編では、1位「ランサム攻撃による被害」、2位「サプライチェーンや委託先を狙った攻撃」に続き、3位に「AIの利用をめぐるサイバーリスク」が初めて選ばれました。
製造業が最多という結果は、ものづくり企業が集まる愛知・東海エリアにとって決して他人事ではありません。
なぜ中小企業が狙われるのか
攻撃者が中小企業を狙う理由は、大きく3つあります。
守りが手薄な入口が残りやすい 警察庁の資料では、侵入経路の約5割がVPN機器でした。更新されていない機器や、退職者・委託先のアカウントが消されずに残っていると、そこが入口になります。高度な技術よりも「未修正の弱点」と「漏れたパスワード」が使われているのが実態です。
取引先への「踏み台」になる 両毛システムズの事例では、同社への侵入をきっかけに、業務を委託していた自治体やガス会社の情報にまで影響が広がりました。IPAの10大脅威でも「サプライチェーンや委託先を狙った攻撃」が2位です。自社が小さくても、大手取引先への入口として狙われます。
担当者がいない・ルールがない 情報システム専任者がいない企業では、パソコンやクラウドの設定、社員のAI利用が「各自の判断」になりがちです。ここに、次の章で説明する生成AI時代の新しいリスクが加わっています。
生成AI時代の新しいリスク
生成AIの普及で、従来のウイルスや不正アクセスとは違うタイプのリスクが生まれています。代表的な3つを紹介します。
1. シャドーAI：会社が知らないところで使われるAI
シャドーAIとは、会社が許可していない生成AIツールを、社員が個人の判断で業務に使うことです。悪意がなくても、顧客情報や社外秘の資料を入力すれば、外部のサービスに情報が渡ってしまいます。
ガートナージャパンが2026年6月に発表した国内調査では、73%の企業がシャドーAIを有効に管理できていないと回答しました（43%は実態を把握できず、30%は把握しても対策できていない）。また『AI白書2026』の調査では、会社が認めていないAIを業務に使っている割合は、課長以上の管理職で46.5%、ガイドラインを整備済みの企業でも46.9%でした。「禁止するだけ」「ルールを作るだけ」では止まらないことが分かります。
2. プロンプトインジェクション：AIへの「不正な指示の埋め込み」
プロンプトインジェクションとは、メールや文書、Webページに隠した指示をAIに読ませて、本来の目的とは違う動きをさせる攻撃です。利用者は普通にAIを使っているだけなので、気づくことができません。
2025年には、Microsoft 365 Copilotで、細工したメールを1通送るだけで社内データが外部に漏れうる弱点「EchoLeak」が公表されました。2026年4月には、Microsoft Copilot StudioとSalesforce Agentforceで、問い合わせフォームに書いた命令から顧客データを外部へ送れる弱点が公表されています（いずれも修正済み）。AIにメールや社内データを読ませる「AIエージェント」の活用が広がるほど、このリスクは大きくなります。
3. AIを悪用したフィッシングとディープフェイク詐欺
生成AIを使えば、自然な日本語の詐欺メールや、本人そっくりの音声・映像を誰でも作れるようになりました。2024年には香港の多国籍企業で、ビデオ会議に参加したCFO（最高財務責任者）や幹部が全員ディープフェイクで、担当者が15回に分けて約2億香港ドル（約38億円）を送金してしまう事件が起きています。「社長からの急ぎの振込依頼」を、声や顔だけで信じてはいけない時代になっています。
中小企業が今すぐできる対策チェックリスト
セキュリティ対策は、高額な製品を入れる前にできることがたくさんあります。まずは次の項目を確認してみてください。
従来型の攻撃への備え
VPN機器やルーターのソフトウェアを最新版に更新している
退職者・委託先・テスト用のアカウントを定期的に削除している
メールやクラウドサービスに多要素認証（パスワード＋スマホ認証など）を設定している
重要なデータのバックアップを、社内ネットワークから切り離した場所にも保管している
被害が起きたときの連絡先と初動の手順を決めている
生成AI時代の備え
会社として使ってよいAIツールと、入力してはいけない情報を決めている
利用するAIサービスで、入力データを学習に使わない設定を確認している
社員がどのAIをどう使っているか、実態を把握している
AIにメールや社内データを読ませる場合、AIに与える権限を必要最小限にしている
送金や支払いの依頼は、声や映像だけで判断せず、別の手段で本人確認する決まりがある
チェックが付かない項目が多くても、心配はいりません。大切なのは、ルールを作って終わりにせず、社員一人ひとりが「なぜ危ないのか」を理解して行動できる状態をつくることです。シャドーAIの調査結果が示すとおり、ルールがあっても使い方を知らなければ、現場は自己流で使い続けてしまいます。
セキュリティ対策は、しっかり備えられます
サイバー攻撃のニュースが続くと不安になりますが、被害の多くは「基本的な対策の抜け」と「社員の知識不足」から起きています。逆に言えば、正しい手順で備えれば、中小企業でも十分に対策できます。
株式会社ISSENGLOBALでは、名古屋・愛知をはじめ東海エリアの中小・中堅企業様に向けて、生成AIの活用支援とあわせたセキュリティ対策のご相談を承っています。そのための研修として、「生成AI時代における情報セキュリティ研修」をご用意しました。
全8チャプター・計12時間（各90分）
約8割がワーク形式。実際の生成AIツールを使い、「何が危険か」を体験しながら学ぶ
入力してよい情報の見極め、安全なツール設定、シャドーAI、プロンプトインジェクション、ディープフェイク詐欺の見分け方まで網羅
研修の中で、自社の業務に合わせた生成AI利用ルールの原案を作成
ITに詳しくない営業・企画・管理部門の方も受講可能
「社員のAI利用の実態が分からない」「AIを導入したいが情報漏えいが心配」という段階からでも構いません。研修の詳細は研修ページをご覧いただくか、お問い合わせからお気軽にご相談ください。
出典
👇操作によって拡大表示が可能です。