9月以降、日本企業で重大な不正アクセス、個人情報漏洩のインシデントが相次いで発生しているほか、世界各地でも不正アクセス、情報流出の事案が相次いでいる。これを受けて、ガートナー ジャパンは10月13日、多発する日本企業の不正アクセス事案に関する緊急的な提言を発表した。
AIやAIエージェントを利用して、広範囲のスキャンによる攻撃対象と脆弱性の特定、攻撃コードの生成と修正、攻撃の実行といった一連の攻撃プロセスが複数工程で自律化される。従来は人間が数日から数週間かけていた作業が、条件によっては数時間、さらには数分で実行される可能性があり、攻撃の速度と規模を飛躍的に拡大させる恐れがあるという。
2026年は、Anthropicの「Mythos」の発表など、フロンティアAIとサイバーセキュリティの脅威について大きく報じられた。Mythosは一般公開が見送られ、攻撃側と防御側で大きな非対称性が生じる危機は免れたものの、今後さらに攻撃側がAIを使って力を拡大していくことはほぼ間違いないとみている。
同社によると、先日韓国で起きた複数の金融機関の不正アクセス事案では、中国で開発されたオープンソースのエージェント・ペネトレーション・テスト・ツールである「ARTEX」と大規模言語モデル（LLM）を組み合わせた攻撃と報告されている。
一方、防御側はいまだに脆弱性管理の基本もできていない組織が多く、このままのペースを継続すると、攻撃と防御の非対称性がさらに拡大し、手に負えない状況になると危惧している。実際、同社が7月に実施した調査では、日本の大手企業のうち、脆弱性管理を十分に実施できている企業は30％だった。同社は、企業が早急に実施すべきアクションの例として、次の項目を挙げている。
インターネット公開資産（ウェブアプリケーション、API、管理画面、VPN、クラウド、拠点、取引先などのサードパーティーも含め）を緊急点検する
ソフトウェアの脆弱性に加えて、認証認可、API、その他の設定不備も含め点検する
VPN、侵入検知システム（IDS）や侵入防御システム（IPS）、ウェブアプリケーションファイアウォール（WAF）、APIゲートウェイ、認証基盤、ウェブサーバー、従業員向けシステム、クラウド環境などのログや関連情報を横断的に調査し、不正アクセスや侵害の兆候がないかを緊急確認する
個人情報は利用する必要がなくなったら速やかに消去されていることを確認する。プライバシー原則にのっとった対応となっていることを改めて確認する
ラテラルムーブメント（内部へ侵入した後の水平展開）を抑制する措置を取る（セグメンテーション、特権管理など）
サードパーティー（特に自社の重要情報やシステムを扱う委託先やクラウド事業者、拠点など）に対し、影響の有無、緊急点検の実施状況、侵害時の連絡体制、インシデント対応プロセス、復旧見通しを確認する
点検で見つかった重大なエクスポージャー（露出された弱点）を緊急的に修復する。サービス停止やサービス制限、緊急改修に関する経営判断を迅速に行う。復旧手順、バックアップ、顧客通知体制も再確認する
バイスプレジデント チームマネージャーの礒田優一氏は、「今や企業は、デジタル空間における絶え間ない攻撃にさらされている。経営者は、この現実を直視し、デジタル防衛を経営の最重要課題の一つに位置付け、自ら先頭に立って取り組む必要がある」とコメントしている。
ZDNET Japan 記事を毎朝メールでまとめ読み（登録無料）