相次ぐサイバー攻撃を一覧で整理——クラウド・委託先・AIなりすましまで、中小企業がいま備えるべきこと

ここ数週間、日本では「不正アクセスで個人情報が漏えいした」「ランサムウェアでシステムが止まった」というお知らせが、ほぼ毎日のように出ています。政府の国家サイバー統括室は10月9日に注意喚起を出し、担当大臣も「大変危急の状況」と述べたと報じられました。

この記事では、9月下旬から10月中旬にかけて報道・公表された主なサイバー攻撃を、被害企業の発表や公的機関の情報をもとに一覧にしました。そのうえで、共通する「攻められ方」と、中小企業が今すぐ備えるべきことを、専門用語をできるだけ使わずに整理します。

なお、10月だけでも公表件数は100件を超えており、すべてを網羅することはできません。ここでは影響が大きいもの、手口の参考になるものを中心に取り上げ、日付は日本時間、件数は各社が発表した「最大」「可能性」を含む数字をそのまま記載しています。

いま何が起きているのか、全体像
国内の主な大規模被害・ランサムウェア
国内の主な情報漏えい（会員アプリ・サイト・委託先）
海外の主な事例
AIが関わる攻撃も現実に
共通する「攻められ方」
中小企業がいま備えるべきこと
まとめ
参考リンク

いま何が起きているのか、全体像

今回の特徴は、大きく3つです。1つ目は、スマホアプリや会員サイト、問い合わせ管理システムなど「インターネットにつながった窓口」から大量の会員情報が抜かれるケースが続いていることです。JPCERT/CCは、スマホアプリを解析して裏口にあたる管理用の接続口（API）を見つけ出す手口や、古い弱点（既知の脆弱性）を片っ端から探す手口を確認したと公表しています。

2つ目は、自社ではなく「委託先」や「利用しているクラウド」が攻撃され、その影響で多くの会社が同時に被害を受けるサプライチェーン型の被害です。代表例が、500近い企業・自治体が使っていたIDCフロンティアのクラウドへのランサムウェア攻撃です。

3つ目は、AIの悪用です。海外ではAIで作った経営幹部の「声」による送金詐欺で巨額の被害が報じられ、AIエージェントにメール1通で不正な命令を実行させられる弱点も研究者から公表されました。

国内の主な大規模被害・ランサムウェア

被害組織	日付（JST）	起きたこと	攻撃の種類	現状（公表時点）
IDCフロンティア（IDCFクラウド）	10月7日 3時40分頃発生	東日本リージョン1が停止。契約する495の企業・自治体に影響。同社は該当ゾーンのデータ復元は困難とし、顧客側のバックアップからの復元を案内	ランサムウェア（クラウド基盤）	侵入経路を調査中。他リージョンの管理画面も安全確認のため一時停止
JR東日本	10月9日発表	IDCFクラウドへの攻撃の影響で「えきねっと」「大人の休日倶楽部」など最大206万件の会員情報が漏えいの可能性	委託先クラウド経由	調査中
イズミ（ゆめオンライン等）	10月14日発表	メールマガジン配信の委託先が使うIDCFクラウド上の氏名・メールアドレス最大約40万件が漏えいの可能性（情報は暗号化）	委託先クラウド経由	漏えい・不正利用は未確認、調査継続
Peach Aviation	10月9日発表	IDCFクラウド上のメール配信システムが停止し、旅程表メール等が遅延・不達	委託先クラウド経由	10月8日から代替サーバーで順次送信。個人情報流出は未確認
京王電鉄グループ	9月26日未明確認、10月16日第2報	グループのサーバーが攻撃され、一部グループ会社の営業システムに支障（報道ではカード決済やホテル予約に影響）。10月16日、攻撃組織を名乗る者が情報の一部を公開したと主張していることを確認	ランサムウェア（Qilinが犯行を主張と報道）	鉄道運行に支障なし。主張の真偽・流出範囲は調査中
メドレー（アットリンク）	10月14日深夜から停止、10月15日公表	産婦人科向け業務支援システムに不正アクセス。影響し得る医療機関は最大787件。各地で予約などが利用できない状態と報道	不正アクセス	漏えいの有無・範囲は調査中

国内の主な情報漏えい（会員アプリ・サイト・委託先）

次の表は、10月に公表された主な情報漏えいです。発表日は各社の発表日で、攻撃が起きた日とは限りません。

被害組織	発表日（JST）	内容（各社発表ベース）	入口・特徴
ソースネクスト	10月15日	会員情報最大2,251万9,960件が流出した可能性（氏名、メールアドレス、パスワード、住所、生年月日など）。不正アクセスは10月9日頃から、13日に確認	会員管理システム。報道ではAPIの不正利用
物語コーポレーション（焼肉きんぐアプリ）	10月5日	会員情報1,078万8,963件が漏えい	公式アプリの会員管理システム
アドベンチャー（skyticket）	10月8〜9日	登録顧客情報約1,464万件などが対象	旅行予約サイト
ブックオフグループHD	10月9日	子会社の会員データ最大約643万件が漏えいの可能性	会員管理システム
ローソン	10月8日	「ローソンID」215万5,345件分などの個人情報が漏えい（不正アクセスは9月）	アカウントサービス
日本経済新聞社	10月16日	開発用クラウドに盗まれた認証情報でアクセスされ、約183万件（うち個人を特定できる情報約15万件）が漏えい。このほか10月4日にはMicrosoft 365アカウント悪用による社員なりすましメール約9,000件送信も公表	認証情報の窃取・なりすまし
ミスターマックスHD	10月6日	最大173万5,154人の個人情報が漏えいの可能性	アプリとオンラインストア
GMOリサーチ&AI（infoQ）	10月5日	最大94万8,498人分の個人情報が漏えい	アンケートサイト
セイコーマート	10月5日（第4報）	アプリ会員57万4,647人分が閲覧された可能性	スマホアプリ
旭化成セラピューティクス（Pharma DIGITAL）	10月6日	医療従事者約51万4,000人の個人情報などが漏えいの可能性	医療従事者向けサイト
大和証券・シチズン時計・損保ジャパン	10月5〜7日	いずれも問い合わせ管理サービスの外部委託先が不正アクセスを受け、問い合わせ情報（約22万件、約10万人分、約6万件）が漏えいの可能性	委託先（問い合わせ管理）
第一生命保険・第一ライフグループ	10月2日	人事システムへの不正アクセスで従業員約12万人の個人情報が漏えいの可能性	社内向けシステム
岩井コスモ証券	10月16日	ネット取引システムの運用委託先トレードワークスが不正アクセスを受け、4,611名の氏名・メールアドレス等が漏えい	委託先
エムスリー（MR君）	10月15日	製薬企業向けサービスに不正アクセス。医師会員の一部（全体の1割未満）と製薬企業担当者（数百名規模）の氏名・勤務先等が漏えい	サービスへの不正アクセス

このほか、スズキ、ヤマハ、Sansan、ウイングアーク１ｓｔなどの「会員コミュニティサイト」で利用していた外部サービスへの不正アクセスや、Google広告の管理アカウント乗っ取りによる不正広告の作成、大学や銀行でのメールアカウント乗っ取りなども相次いで公表されています。

海外の主な事例

フランスでは10月12日（現地時間）にかけて、数百のスーパーで冷蔵・冷凍ケースの温度管理ソフトが乗っ取られ、温度が上げられる攻撃がありました。BBCによると、Intermarché系180店、Coopérative U系100店超、Carrefourでは80店などが影響を受け、食品の廃棄や小規模な火災も起きました。狙われたのはデンマークのDanfoss製のソフトで、同社は「更新できない古い機種」が影響を受けたと説明しています。パリ検察が捜査を始めています。

「古くて更新できない機器がネットにつながったままになっている」という点は、日本の中小企業の店舗や工場でも決して他人事ではありません。

AIが関わる攻撃も現実に

イタリアでは、大手銀行インテーザ・サンパオロ傘下のプライベートバンク、フィデウラムが、AIで幹部になりすました詐欺により9,500万ユーロをだまし取られたとロイターが報じました（Biometric Updateが10月15日〈米国時間〉に紹介）。CEOを名乗るWhatsAppメッセージから始まり、AIで複製した弁護士の声の電話で信じ込ませ、海外口座へ送金させたとされます。約5,300万ユーロは回収されたと報じられています。

また、セキュリティ企業Salt Labsは10月1日、AIエージェント「Manus」に細工したメールを1通送るだけで、利用者が「受信箱を確認して」と頼んだ際に不正なプログラムを実行させ、連携しているGmailやGoogleドライブ、GitHubの認証情報に届き得た、という研究結果を公表しました。この弱点はすでに修正済みとされています。AIに「メールを読んで処理して」と任せることは、知らない人からの指示書をそのままデジタル部下に渡すのに近い、という点を覚えておく必要があります。

国家サイバー統括室の10月9日の注意喚起も、「AIの悪用を含むサイバー攻撃の手法が高度化・巧妙化する中」で、経営課題として対策を強化するよう求めています。AIを使った攻撃については、当サイトのZhipu GLM-5.3の攻撃能力を分析した記事や、ニチレイへのサイバー攻撃を解説した記事もあわせてご覧ください。

共通する「攻められ方」

インターネットに公開したアプリ・サイト・管理画面の弱点や設定ミスを突かれる（古い既知の弱点、管理用の接続口が無防備）
盗まれたID・パスワードや認証情報で「正規の利用者として」ログインされる（メール乗っ取り、なりすましメール送信）
委託先・クラウド・外部サービスがやられ、自社のデータや業務が巻き込まれる
ランサムウェアでシステムを止め、さらに「情報を公開する」と脅す二重の脅迫
古くて更新できない機器がネットにつながったまま放置されている
AIの声・文章によるなりすましや、AIエージェントへの「隠れた命令」

中小企業がいま備えるべきこと

ここからは、上の事例から逆算した具体的な備えです。全部を一度にやる必要はありません。上から順に、今月中にできるものから始めてください。

バックアップは「別の場所」に、「戻せるか」まで確認する。IDCフロンティアの件では、データ復元が困難とされ、顧客自身のバックアップが頼りになりました。クラウドに置いているから安心、ではありません。重要なデータは、普段使う環境とは切り離した場所（別サービスやネットから外したディスク）にもコピーし、年に1〜2回は実際に復元できるか試しましょう。

メール・クラウドには必ず多要素認証（MFA）を。パスワードに加えて、スマホのアプリやSMSでもう一段確認する仕組みです。Microsoft 365やGoogle Workspace、ネットバンキング、会計ソフトなど、乗っ取られると困るものから設定します。社員が他のサービスと同じパスワードを使い回していないかも確認しましょう。

ネットにつながった機器とサイトの「棚卸し」と更新。VPN装置、ルーター、ホームページ（WordPressなど）、予約システム、防犯カメラ、店舗の温度管理機器などを一覧にし、更新が止まっていないか、メーカーのサポートが切れていないかを確認します。使っていない管理画面や古いサイトは閉じるのが一番の対策です。

委託先・クラウドの確認リストを作る。会員情報や顧客データを預けている先（メール配信、予約、問い合わせ管理、EC）を書き出し、「どこにデータがあるか」「事故時に何日で連絡が来るか」「不要な古いデータを消しているか」を確認します。預けるデータは必要最小限にするのが、漏れたときの被害を小さくする近道です。

送金・口座変更は「折り返し確認」をルール化。社長や取引先からの急ぎの送金依頼、振込先の変更は、メールやチャット、電話の声だけで判断しないこと。登録済みの番号にこちらからかけ直す、2人で承認する、社内だけの合言葉を決める、といったルールを紙に書いて共有しましょう。AIで声も文章も本物そっくりに作れる時代です。

AIツールの利用ルールを決める。AIに顧客情報や社外秘を入れてよいか、AIエージェントにメールやドライブへの接続を許すか、を決めておきます。特に、外部から届いたメールや文書をAIに自動処理させる場合は、送金・削除・外部送信など重要な操作の前に必ず人が確認する設定にしてください。

「漏れた後」の詐欺に注意を呼びかける。情報漏えいの後には、被害企業を名乗る偽メールや電話が増えます。自社が使っているサービスで漏えいが発表されたら、パスワードを変更し、社員にも注意喚起しましょう。

いざという時の連絡先を1枚にまとめる。システムの保守業者、利用クラウドの窓口、契約しているサイバー保険、警察のサイバー犯罪相談窓口、IPAの情報セキュリティ安心相談窓口、個人情報保護委員会への報告方法を1枚の紙にまとめ、ネットが止まっても見られる場所に置いておきます。「まずネットから切り離す」「電源は切らずに業者に相談する」といった初動も書き添えておくと安心です。

まとめ

ここ数週間の報道を並べると、攻撃者は「狙った大企業」だけでなく、ネットに出ている弱い窓口や、多くの会社が共同で使うクラウド・委託先を足がかりにしていることがわかります。自社が小さいから狙われない、という考えは通用しにくくなっています。

一方で、備えの基本は変わりません。戻せるバックアップ、多要素認証、機器とサイトの更新、委託先の把握、そして送金やAI利用の確認ルールです。高価な製品を入れる前に、まずは今月、社内で「どこに何があり、止まったらどうするか」を話し合うことから始めてみてください。