情報漏えい3億件超、2024年の100倍に　脅威高まる「PC内の情報が丸見え」の手口　不正(東京 - 七転八起 Shichitenhakki

2026/10/30 (Fri) 13:43:31

情報漏えい3億件超、2024年の100倍に　脅威高まる「PC内の情報が丸見え」の手口　不正アクセス問題：東京新聞デジタル
https://www.tokyo-np.co.jp/article/524945





　企業を狙った不正アクセスによる情報漏えいが今年1～10月に延べ3億3000万件に達し、2024年通年の370万件から約100倍に急増したことが29日、サイバーセキュリティー会社の調査で分かった。人工知能（AI）が進化し、システムのほころびを無差別に攻撃できるようになった影響が大きいとみられる。専門家らは「年末にかけて監視が緩めば、件数はさらに増える」と警告。企業側には顧客情報を守る体制の構築が急務となる。

◆クレジットカードや口座情報も含むものは69.7％

　セキュリティー会社マクニカ（横浜市）の調査によると、今年1月から10月27日までに氏名やパスワードなどが流出した件数が3億2900万件に上った。2025年の3300万件と比べ、年10倍のペースだ。8月以降の増加が著しく、今月23日には佐川急便が最大延べ約5323万件という大量の顧客情報が流出した可能性を発表した。件数には重複を含み、実際の被害者数とは異なる。

　今年はメール配信サービスのユミルリンク（延べ約5162万件の可能性）や、カーシェアリングサービス「タイムズカー」での運転免許証などの画像データ（延べ約146万人）の漏えいにも衝撃が広がった。

　GMOインターネットグループの問題では、漏えいした情報がサービス利用者の口座での不正取引や、GMOに金銭を要求する脅迫材料に使われる事態に発展した。

　情報の種類では、氏名やメールアドレスなど比較的悪用リスクが低い情報だけのケースが22.7％。クレジットカードや口座情報も含むものは69.7％に上った。マクニカのセキュリティ研究センターの瀬治山豊（せじやま・ゆたか）氏は「今まで氏名やアドレスのみでは価値が低かった。AIは詐欺文書作成も得意で、悪用しやすくなったのではないか」と解説する。

◆被害が多い日本…でも体制は整っておらず

　狙われる業種も多様化した。従来は電子商取引（EC）サイトなどだったが、今年8月以降は会員サイトやアプリ、ウェブ上の業務サービスの被害も目立つ。瀬治山氏は「年初から春ごろに出てきた新たなAIを使い、広範囲を無差別に攻撃したとみられる」と話す。

　調査は身代金要求型コンピューターウイルス「ランサムウエア」攻撃による窃取などは除外しており、実態はさらに深刻な可能性もある。

　直近の状況は、世界的に見ても日本の被害が特に多いという。企業側はAIを用いた自社システムの点検が必須だが、多くは体制が整っていないとみられ、被害が続く懸念がある。（共同）

　　◇　　◇

◆「仮想専用サーバー」が攻撃の入り口に？

　GMOインターネットグループへの不正アクセス問題は、多様な取引がオンラインで行われる現代社会で、個人情報がさらされる脅威を鮮明にした。今回の攻撃者側が公開した情報の真偽は不明だ。ただ専門家は一般論として、顧客情報にアクセスする権限が攻撃側に掌握されれば「個人のパソコン内の情報が丸見えになり、全部抜き取られる恐れがある」とする。一方で、対策の難しさも指摘する。

　サイバーセキュリティー企業S&Jの三輪信雄（みわ・のぶお）社長は、攻撃側の主張が事実だとすれば、今回不正アクセスを受けた外国為替証拠金取引（FX）向けサービス「お名前.comデスクトップクラウド」の「VPS」が、攻撃の入り口となった可能性があると分析する。

　VPSは日本語で「仮想専用サーバー」と訳され、今回のサービスでは多数のVPSが顧客一人一人のパソコンと接続した。攻撃者は声明で、それぞれのVPSが分離されていなかったため、管理者権限を持つアカウントを使えば、全てに接続できる状態だったと主張した。

　こうした状況を踏まえ、三輪氏は攻撃の手口に関して次のようにみる。

（1）攻撃者側がサービスと正規契約し、VPSの一つを利用できる状態にする

（2）このVPSを足場とし、全利用者のVPSにアクセスできる管理者アカウントを奪う

（3）管理者アカウントの権限で、VPSに接続する個々のパソコンに侵入、情報を窃取した
──可能性がある。

　三輪氏は、個人のパソコン内に入ればファイルの閲覧などが可能だとし「FX取引の利用者はパソコンからサーバーに長時間接続していることが多く、その間に抜き出されたとみられる」と話す。

　今後、他のサービスでも、個人情報にアクセスできる管理者権限が奪われれば、情報が抜き出される可能性はある。三輪氏は「管理者権限を奪われないようにする完全な対策はなかなか難しい。権限が不正に使われたことを検知できる仕組みの構築も必要だ」と提言した。（共同）