AI不正アクセス元年｜セキュリティについて、中小企業がまず見直すこと

2026年10月に入り、大企業の不正アクセスと情報漏えいの公表が連日続いています。JR東日本、損保ジャパン、タイムズカーといった身近なサービスで、数百万件規模の個人情報が流出した、または流出した可能性があるという公表が相次いでいます。 この記事では、10月の主な事案を一覧で整理し、そこから分かる共通点と、中小企業がまず取り組むこと、さらに強化する場合の対策を紹介します。結論は、まず自社の認証情報を総点検し、そのうえで情報を預けている委託先やクラウドを洗い出すことです。

2026年10月、何が起きているのか

業種を問わず、大規模な漏えいの公表が続いています。9月末から10月第2週までに公表された主な事案は次のとおりです。

東京商工リサーチの集計では、2026年は10月5日までに、1,000万件を超える漏えいが上場企業で3件起きています。大規模な漏えいは7月以降に増えており、セキュリティ会社はその背景に、攻撃へのAIの悪用があるとみています。IPAも10月9日に緊急の注意喚起を出しました。

相次ぐ事案から、何が分かるのか

分かることは3つあります。

1. 自社ではなく、委託先やクラウドから漏れる

大和証券と損保ジャパンは、同じ委託先のシステムから漏えいしました。JR東日本も、自社ではなくクラウド事業者が受けた攻撃の影響です。IPAの「情報セキュリティ10大脅威 2026」（組織編）でも、委託先を狙った攻撃は2位に入っています。

自社がどれだけ対策しても、預けた先が破られれば情報は漏れます。また、クラウドが止まれば、自社のWebサイトや業務システムも止まります。逆に、中小企業が大企業の委託先として、侵入の足がかりに狙われることもあります。取引先から預かった情報を守ることは、取引を続けるための条件になりつつあります。

2. 入口は、盗まれた認証情報と更新されていない機器

侵入の入口が公表された事案では、管理画面への不正ログインや、システムの脆弱性の悪用が挙がっています。認証情報とは、IDとパスワードのほか、ログインした状態を保つ情報や、システム連携に使うAPIキーなど、本人であることを示す情報を指します。

今回の各事案で、認証情報がどう盗まれたかまでは公表されていません。一般に、認証情報を盗む代表的な手口が、インフォスティーラーと呼ばれる不正プログラムです。パソコンに入り込むと、入力されたパスワードや、多要素認証を済ませた後のログイン状態まで盗み続けます。盗まれた情報は闇市場で売られ、それを買った攻撃者が侵入します。

警察庁によると、2026年上半期のランサムウェア被害は123件で、半期として過去最多でした。侵入経路の約5割はVPN機器で、更新の遅れや認証情報の漏えいを突かれています。

3. 業種も規模も問わない

10月の事案は、鉄道、保険、証券、外食、カーシェア、自治体と業種がばらばらです。警察庁の資料では、ランサムウェアの被害企業の約6割が中小企業でした。攻撃者は規模ではなく、侵入しやすい隙を探しています。

中小企業が、まずできることは何か

まず取り組むのは、次の5つです。IPAの「中小企業の情報セキュリティ対策ガイドライン」の基本対策とも重なります。

総務省は、パスワードの定期的な変更は不要としています。2は定期的な変更ではなく、漏れていても自社では気づけないため、この機会に一度すべてを更新するという考え方です。

さらに強化するなら、何をすればよいのか

基本の対策が済んだら、次の4つに進みます。

1. 自社の認証情報が闇市場に出ていないか監視する：売りに出た段階で気づけば、侵入される前に止められます。Have I Been Pwnedでは、ドメインの所有を確認すれば社内のアドレスをまとめて調べられます（規模により有料）。継続して監視する民間サービスもあります。
2. 委託先・クラウド・アカウントを棚卸しする：顧客情報を預けている委託先と、業務で使うクラウドを一覧にします。あわせて、退職者や契約が終わった委託先のアカウント、多要素認証のない管理者アカウントが残っていないかを確認し、不要なデータは持たないようにします。
3. 自社の状況を診断する：IPAの「5分でできる！情報セキュリティ自社診断」で弱点を把握し、「SECURITY ACTION」で取り組みを自己宣言できます。
4. 止まったとき、漏れたときの動きを決めておく：使っているクラウドが止まったら何で業務を続けるか、情報が漏れたら誰に連絡するかを決めておきます。個人データの漏えいは、一定の場合に個人情報保護委員会への報告と本人への通知が法律で義務づけられているため、報告の担当者と手順も決めておきます。警察庁によると、2025年のランサムウェア被害組織で業務継続計画（BCP）を策定していたのは約18%でした。

まとめ

• 2026年10月は、JR東日本、損保ジャパン、タイムズカーなどで大規模な情報漏えいの公表が相次ぎました。
• 相次ぐ事案から分かるのは、委託先やクラウドから漏れること、入口は認証情報と脆弱性であること、業種も規模も問わないことの3つです。
• まずは、多要素認証、すべての認証情報の更新、OS・機器の更新、バックアップ、AIの入力ルールの5つに取り組みます。
• さらに強化するなら、闇市場への流出の監視、委託先・クラウド・アカウントの棚卸し、自社診断、止まったときと漏れたときの計画づくりの4つに進みます。

自社だけで判断が難しい場合は、IPAの相談窓口や、警察のサイバー事案の相談窓口も利用できます。