Gartner、多発する日本企業の不正アクセス事案に関する緊急的な提言を発表

ビジネスおよびテクノロジのインサイトを提供するガートナージャパン株式会社 (以下Gartner) は、多発する日本企業の不正アクセス事案に関する緊急的な提言を発表しました。

2026年9月以降、日本企業で重大な不正アクセス、個人情報漏洩のインシデントが相次いで発生しているほか、世界各地でも相次いで不正アクセス、情報流出する事案が発生しています。

バイス プレジデント チーム マネージャーの礒田 優一は次のように述べています。「国内で日々発生している事案のすべてが、AIを使用したものかどうかは不明ですが、遅かれ早かれすべての攻撃ではAI／エージェント利用が当たり前になり、脆弱性や認証やその他の設定不備が『短期間』かつ『広範囲』で悪用されることになるでしょう。先日韓国で起きた複数の金融機関の不正アクセス事案では、ARTEX (中国で開発されたオープンソースのエージェント・ペネトレーション・テスト・ツール) と大規模言語モデル (LLM) を組み合わせた攻撃と報告されています」

企業は従来のサイバーセキュリティの取り組みを大きく転換させていく必要があります。今回の事案はそのための契機と捉えるべきです。

AI／エージェント利用により、一連の攻撃プロセス、すなわち広範囲のスキャンによる攻撃対象および脆弱性の特定、攻撃コードの生成・修正、攻撃の実行といったプロセスが、複数工程にわたって自律化されます。従来は人間が数日から数週間かけていた作業が、条件によっては数時間、さらには数分で実行される可能性があります。これは、攻撃者の技術力や人的リソースによる制約を引き下げ、攻撃の速度と規模を飛躍的に拡大させる恐れがあることを意味します。

2026年は、AnthropicのMythosの発表などフロンティアAIとサイバーセキュリティの脅威について、大きく報じられました。Mythosについては、一般公開は見送られ、攻撃側と防御側で大きな非対称性が生じる危機は免れたものの、今後さらに攻撃側がAIを使って力を拡大していくことはほぼ間違いないとGartnerはみています。

一方、防御側はいまだに脆弱性管理の基本もできていない組織が多く見られます。このままのペースを継続すると、今後、攻撃と防御の非対称性がさらに拡大し、手に負えない状況になります。

ディレクター アナリストの鈴木 弘之は次のように述べています。「AI／エージェントの進化によって、サイバー攻撃とそれに対抗する企業の取り組みは新たな局面を迎えています。Gartnerが2026年7月に実施した調査では、日本の大手企業のうち、脆弱性管理を十分に実施できている企業は30%でした。この現状を踏まえ、企業はこれまで以上に緊急度を高くして取り組みを強化していく必要があります」

Gartnerは、企業が早急に実施すべきアクションの例として、次の項目を挙げています。

• インターネット公開資産 (Webアプリ、API、管理画面、VPN、クラウド、拠点、取引先などのサードパーティも含め) を緊急点検する
• ソフトウェアの脆弱性に加えて、認証認可、API、その他の設定不備も含め点検する
• VPN、侵入検知システム (IDS)／侵入防御システム (IPS)、WAF (Webアプリケーション・ファイアウォール)、APIゲートウェイ、認証基盤、Webサーバ、従業員向けシステム、クラウド環境などのログや関連情報を横断的に調査し、通常と異なるアクセス、アカウントの作成・権限変更、設定変更、大量のデータ取得など、不正アクセスや侵害の兆候がないかを緊急確認する
• 個人情報は利用する必要がなくなったら速やかに消去されていることを確認する。プライバシー原則にのっとった対応となっていることを改めて確認する
• ラテラル・ムーブメント (内部へ侵入した後の水平展開) を抑制する措置を取る (セグメンテーション [隔離]、特権管理など)
• サードパーティ (特に自社の重要情報やシステムを扱う委託先やクラウド事業者、拠点など) に対し、影響有無、緊急点検の実施状況、侵害時の連絡体制、インシデント対応プロセス、復旧見通しを確認する
• 点検で見つかった重大なエクスポージャ (露出された弱点) について緊急的に修復する。サービス停止やサービス制限や緊急改修に関する経営判断を迅速に行う。復旧手順、バックアップ、顧客通知体制も再確認する

礒田は次のように述べています。「これらは緊急的な対応の例になりますが、企業には中長期的に持つべき視点、戦略的転換も必要になります。例えば、脆弱性診断を委託して定期的に実施する企業は多いですが、自律性／継続性を高めるCTEM (継続的な脅威エクスポージャ管理) の実現に向けた中長期のロードマップを策定すべきです。攻撃側のみではなく防御側もAIを駆使し、先手、先制的、バイ・デザインの対応を進めていく必要もあります。またセキュリティ・オペレーションの実務のみではなく、セキュリティ戦略、組織運営、設計思想のシフト・チェンジ、さらにはセキュリティの仕事の再定義が求められます」

今回、相次ぐ不正アクセスによって大量の個人情報が流出し、多くの人々に深刻な影響が及んでいます。経営者には説明責任を果たすことが求められますが、「再発防止の徹底に努める」という言葉だけでは、もはや十分ではありません。

礒田は次のように述べています。「今や企業は、デジタル空間における絶え間ない攻撃にさらされています。経営者は、この現実を直視し、デジタル防衛を経営の最重要課題の一つに位置付け、自ら先頭に立って取り組む必要があります」