こんにちは。LightAll合同会社 代表社員の三輪です。
第3回は、サイバーセキュリティがテーマです。私は毎年、「情報セキュリティ白書」に目を通しています。今年も2026年版を読んだので、印象に残った点をご紹介しながら、いま中小企業が取り組むべきことを考えてみます。
攻撃の手口は、意外と「昔ながら」
白書を読んでまず感じたのは、攻撃の手口そのものは、以前から知られているものが依然として多いということです。
- フィッシング（本物を装ったメールやサイトでだます）
- すでに公表されている脆弱性を突いた攻撃
- VPN装置などのネットワーク機器の脆弱性を狙った攻撃
- 多要素認証のないID・パスワードの奪取。管理者権限を持つアカウントでさえ、多要素認証が設定されていないケースがまだあるようです
目新しい高度な技術よりも、「分かっているのに塞がれていない穴」が狙われている。そんな印象を受けました。
数字で見る、狙われている場所
白書で紹介されているデータの中から、特に印象に残ったものを挙げます。
- 攻撃者が最初に侵入する手段として、脆弱性や設定ミスを狙った「外部に公開されたアプリケーションの悪用」が40％。前年から44％増えています。
- 公開された脆弱性のうち56％は、認証なしで悪用できるものでした。つまり、IDやパスワードを知らなくても入り込めてしまう穴です。
- ランサムウェアの感染経路は、VPN機器が66.3％、リモートデスクトップが20.7％。テレワークなどで使われる、外から社内につなぐための機器が狙われています。
本当に恐ろしい数字です。便利さのために「外に開けた扉」が、そのまま攻撃の入り口になっている。いったん狙われてしまえばすぐに侵入されてしまう会社や、気づかないうちにすでに侵入されている会社も、決して少なくないのではないでしょうか。
自社だけ守っても、足りない
白書には、あるEC事業者の被害事例も紹介されていました。業務委託先に付与していた管理者アカウントのIDとパスワードが漏れ、不正に利用されたというものです。そのアカウントには、多要素認証が設定されていませんでした。
自社の社員のアカウントはしっかり管理していても、外部の委託先に渡したアカウントが盲点になる。しかもそれが管理者権限だった。どの会社でも起こり得る話だと思います。
こうした取引先・委託先を経由した被害を防ぐため、経済産業省などは「サプライチェーン強化に向けたセキュリティ対策評価制度」の運用開始を、2026年度末に予定しています。取引先のセキュリティ対策の状況を「★」の段階で見える化する仕組みで、基礎的な対策を自己評価で確認する★3、より包括的な対策を第三者が評価する★4などが用意される予定です。
実際、キヤノンITソリューションズが今年5月に公表した調査では、大企業の発注担当者の71.6％がこの制度の評価を取引条件に組み込む意向を示し、そのうち52.6％が取引先に「★4以上」を求める予定と回答しています。今後は、発注する側が取引先に一定の対策を求める場面が、確実に増えていくでしょう。中小企業にとってセキュリティ対策は、自社を守るためだけでなく、取引先から信頼され、選ばれ続けるためにも欠かせないものになっていくでしょう。
生成AIが当たり前になった時代だからこそ、基本の徹底を
手口は昔ながらなのに、なぜ事故がこれほど増えているのか。白書に書かれていることではありませんが、私は、生成AIの活用によって、人手に頼らず広い範囲に、高い頻度で攻撃を仕掛けられるようになったことが大きいのではないかとみています。
以前であれば、攻撃にも人手と手間がかかるため、狙われるのは主に大きな会社でした。しかし、攻撃が自動化され、量産されるようになると、会社の規模に関係なく、穴の空いているところが次々と網にかかります。「うちは小さな会社だから狙われない」は、もう通用しないと考えたほうがよいでしょう。
一方で、手口が昔ながらのものである以上、対策もまずは基本の徹底です。白書の数字から考えると、優先したいのは次の4つです。
- 外から見えている機器やシステムを把握する。VPN機器やリモートデスクトップなど、外部に公開しているものを棚卸しし、使っていないものは閉じる。
- 更新を後回しにしない。特にネットワーク機器は、パソコンに比べて更新が忘れられがちです。
- 管理者アカウントには必ず多要素認証を。社員だけでなく、委託先に渡しているアカウントも含めて確認する。
- 怪しいメールに気づける習慣をつくる。AIで作られたフィッシングメールは、日本語も自然になってきています。
どれも、聞いたことがある対策ばかりかもしれません。でも、実際の被害の多くは、こうした基本の抜けから起きています。
【追記：2026年10月22日】
この記事の公開後、Webサイトで広く使われているプログラミング言語「PHP」に、長年見過ごされてきた深刻な脆弱性が見つかったとニュースになりました。発見のきっかけは、OpenAIの生成AIだったそうです。
日ごろからAIコーディングエージェントを使ってシステム開発をしている立場からすると、これは驚くようなことではありません。PHPのように中身が公開されているソフトウェアであれば、AIが脆弱性、つまりバグを見つけ出せるのはむしろ当たり前です。そして、守る側が使えるということは、攻撃する側も同じように使えるということです。
だからこそ、これからは「脆弱性が見つかったら直す」だけでは足りません。修正版が出たらすぐに更新することに加えて、自社で作ったシステムやツールに脆弱性がないかを、AIを活用して定期的に、自分たちから確認していくことが必須になると考えています。
全部はできない。だから、自社にとっての正しい選択を
とはいえ、限られた予算と人手の中で、すべてを完璧にするのは現実的ではありません。大切なのは、自社がどこに「外に開けた扉」を持っていて、どこが一番危ないのかを知り、優先順位をつけることです。
LightAllでは、AI時代のサイバーセキュリティについて、それぞれの会社にとって正しい選択ができるようお手伝いしていきたいと考えています。「まず何から手をつければよいか分からない」という段階からでも、お気軽にご相談ください。
