日本は記録的なサイバー攻撃の波に直面しています。2026年10月に公表されたセキュリティインシデントは233件に達し、これまでの月間最多件数の約2.4倍となりました。
エム・エム・リサーチ研究所（MM Research Institute）の推計によると、同月に公表されたインシデントで流出した、または流出した可能性のある個人情報は1億8,500万件です。これは2025年通年の報告件数の4倍近くに相当します。
100万件以上の情報が関わるインシデントは30件に上りました。家具小売大手のニトリは後に、顧客情報3,762万件が流出した可能性があると公表しており、日本企業全体に影響が広がっている状況が浮き彫りになっています。
なお、これらの数字は個人の人数ではなく情報の件数を示しており、侵害が確認されたものに加え、流出の疑いがあるものも含まれています。
メール配信事業者のArara（アララ）は、攻撃者が約8,130万件のメールアドレスを窃取したことを確認しました。影響を受ける可能性のある法人顧客は380社に上ります。
顧客によっては、氏名、生年月日、電話番号、住所、会員情報なども流出したとされています。このデータのサプライチェーン侵害により、被害を受けたブランドが直接運用するインフラにとどまらず、影響が広範囲に及びました。
Socketによると、攻撃者はAraraの配信プラットフォームも悪用し、10月28日から10月30日にかけて、クレジットカード会社をかたる不正なメッセージを最大713万件配信しました。
これとは別に、Ymir LinkのメールサービスCuenote FCでも侵入被害が発生しました。11月11日付の更新情報では、49システムから約4,790万件のメール配信関連レコードが抜き取られたことが確認されています。
調査の結果、ソフトウェアの脆弱性の悪用、セッション情報の窃取、正規のCSVエクスポート機能の悪用が判明しました。
セッション情報の窃取は、セッションハイジャックの脅威が現実のものであることを示しています。またエクスポート機能の悪用からは、アカウントが乗っ取られると、正規のアプリケーション機能がデータ窃取の手段になり得ることがわかります。
こうした事業者側のインシデントが起きると、下流にある組織は、自社のネットワークに直接の侵入が見られない場合でも、顧客情報の流出について調査を迫られます。
JPCERT/CCが10月21日に実施した調査では、攻撃者が人工知能（AI）を使って既知の脆弱性をスキャンし、APIを攻撃していた形跡が見つかりました。
調査担当者はAndroidアプリケーションパッケージを解析し、バックエンドのエンドポイントを特定したうえで、サーバーサイドリクエストフォージェリ（SSRF）などの欠陥がないかテストしていたとみています。
別の攻撃用サーバーには、FlutterおよびAndroidアプリケーション向けのリバースエンジニアリングツールであるBlutterとjadxも確認されました。こうした解析を行えば、公開Webサイトからはわからない認証の仕組みやAPIのルートが明らかになる可能性があります。
ただし、日本での急増全体にAIがどの程度寄与したかについては、研究者も明らかにできていません。マクニカは、データ窃取の可能性があるWebシステムへの侵入インシデントを、10月までに288件確認しました。2025年通年は84件でした。
この集計には、ランサムウェア、クレデンシャルスタッフィング、侵害された事業者に起因する顧客側の重複公表は含まれていません。10月の事例では、会員向けポータルや業務・管理用アプリケーションが約3分の2を占めました。
一方、TrendAIは1月から9月までにランサムウェア関連の公表を82件集計しました。前年同期は79件であり、全体的な増加はランサムウェアだけでは説明できないことがうかがえます。
日本政府は、情報収集、AIを活用した脆弱性検出、対応支援を柱とする100億円規模の緊急サイバーセキュリティ対策を発表しました。
当局はあわせて、各組織に対し、ソフトウェア構成要素の棚卸し、サポート切れアプリケーションの置き換え、パッチ適用期限の優先順位付け、委託先が運用するシステムやAPIの点検を促しています。
16,000以上のSOCチームがANY.RUNを活用し、脅威調査の効率化と手作業の削減を実現しています。チームでの導入を検討する
翻訳元: https://cyberpress.org/massive-cyberattack-wave-hits-japan/
