記事公開日
終わらないサイバー攻撃について
２０２６年１１月５日の日本経済新聞に「配信委託 「アララ」基板乗っ取り」「正規メールで詐欺 ７１３万通」「ビックカメラなど７７００万件漏洩」という記事が掲載されました。内容は、メール配信サービス「アララメッセージ」で起きた不正アクセスの影響が広がっていることについてです。ビックカメラなどの契約企業の顧客情報が流出し、そのままサービスが悪用され約７１３万通の不審なメールが配信されました。消費者や企業は偽メール対策の見直しを迫られてます。アララメッセージはペイクラウドホールディング子会社アララが運営しています。契約企業が顧客のメールアドレスや氏名といった会員情報を登録し、アララがメールマガジンなどの一斉配信を担う仕組みにしてます。不正アクセスは、１０月２７日から２段階に分けて広がりました。攻撃者はまずアララのサーバーの脆弱性を突き、サービスのシステムに不正侵入しました。次いでこのサーバーを足場として他の契約企業向けのサーバー９７台にも侵入しました。１０月２８日～３１日に約７７００万件のメールアドレスと氏名や住所、電話番号などの顧客情報が流出した可能性があります。影響を受ける企業は最大で約３８０社に上ります。契約企業は、現在、対応に追われてます。１１月３日にレジャー予約サイト運営のアソビューが約１５８２万件の会員情報が流出したと発表しました。ビックカメラとワークマンも情報漏洩を公表し、顧客に不審メールへの注意を呼び掛けました。中堅航空会社のソラシドエアも１１月４日、約４９万件のメールアドレスが流出しました。アララがサービスを停止している為、１０月３１日からメールで航空券を送るなどのサービスを止めてます。利用客には予約番号を出発する空港で搭乗手続きをすることなどを呼び掛けてます。今回のアララへの不正アクセスに伴うフィッシング詐欺メールの一斉送信は、同種の案件で過去最大の規模と見られます。顧客情報の流出と同時にメール配信がそのまま悪用された点も深刻です。
今回は、サイバー攻撃について言及します。
目 次
１．サイバー攻撃の状況について
２．世界のサイバー攻撃の状況について
３．日本のサイバー攻撃の状況について
４．中小企業の対応について
５．アドバンス・キド株式会社の提案について
１．サイバー攻撃の状況について
① アララのメール配信基盤への不正アクセス
今回の事件では、アララが提供する「アララ メッセージ」のサーバーが不正アクセスを受け、契約企業の顧客情報が流出した可能性があります。特に問題なのは、攻撃者が正規のメール配信システムを悪用して、クレジットカード会社を装う不審メールを大量送信したことです。
今回の攻撃の仕組み
攻撃者が配信システムに侵入 認証情報などを悪用
正規のメール配信基盤を悪用 顧客データの流出・不審メール送信
委託元企業 情報漏洩・信用低下
一般消費者 詐欺メール・二次被害
ビックカメラ、コジマ、ソフマップの3社では、合計約1,490万件のメールアドレスなどが流出した可能性が公表されています。これは、委託先のセキュリティ対策が、そのまま自社の経営リスクにつながることを示しています。
② GMOグループへのサイバー攻撃
2026年10月には、GMOインターネットの「お名前.com デスクトップクラウド」で不正アクセスが発生しました。
影響を受けた可能性のある仮想サーバーは最大26,739台
- 一部利用者の金融取引サービスのログイン情報が窃取
- 不正な金融取引による被害が報告
- GMOグループは経営責任を踏まえた役員報酬の減額を発表
なお、26,739台は調査対象となり得るサーバー数であり、すべてのサーバーが侵害されたという意味ではありません。また、GMOあおぞらネット銀行は11月4日時点で同行への不正アクセスや情報漏洩は確認されていないと説明しています。
今回の教訓は、サイバー攻撃が単なるシステム障害ではなく、顧客の資産、企業の信用、経営責任にまで影響するということです。
③ AIがサイバー攻撃を増やしているのか
AIは、攻撃者の作業を効率化する一方、防御側の監視や分析にも活用されています。
|
AIによる変化 |
企業への影響 |
|
自然な日本語の詐欺メール作成 |
不審メールを見分けにくい |
|
音声・映像の偽造 |
経営者や取引先へのなりすまし |
|
プログラム解析の高速化 |
脆弱性を悪用されるまでの時間が短縮 |
|
攻撃対象の情報整理 |
攻撃の準備を効率化 |
|
防御側の異常検知 |
不審な挙動を早期発見できる可能性 |
ただし、アララやGMOの個別事件について、AIが攻撃に使用されたと確認できたわけではありません。 AIの普及と個別事件の原因は区別して考える必要があります。
２．世界のサイバー攻撃の状況について
世界では、サイバー攻撃が個人の犯罪から、組織化された国際的な犯罪ビジネスへと発展しています。
① 世界で注目される5つの傾向
- ランサムウェアの高度化：データの暗号化だけでなく、情報を盗んで公開を脅迫する二重恐喝。
- サプライチェーン攻撃：IT委託先やソフトウェア提供会社を経由して、多数の企業へ被害を拡大。
- AIを利用した詐欺：自然な文章、偽音声、偽映像を使い、送金や認証情報の入力を誘導。
- 認証情報を狙う攻撃：パスワード、ログインセッション、クラウド管理者権限などを悪用。
- 社会インフラへの攻撃：電力、物流、医療、港湾、通信など、停止による影響が大きい分野を標的にする。
2026年11月5日のロイター報道でも、世界の企業がAIによって加速するサイバー攻撃への対応を迫られ、AIを利用した防御技術への投資を強化していると伝えています。
② AIによって攻撃と防御の競争が激化
Microsoftの2026年のセキュリティ報告では、観測した侵入に占めるフィッシングの割合が、2025年の7％から2026年には23％に増えたとしています。これは同社の観測範囲の数値であり、世界全体の攻撃件数を示すものではありません。つまり、AI時代のサイバーセキュリティは、攻撃側と防御側の双方がAIを利用する競争になりつつあります。企業は、攻撃を完全に防ぐことだけでなく、侵入を早く検知し、被害を限定し、事業を復旧させる能力を持つ必要があります。
３．日本のサイバー攻撃の状況について 。
① 日本でもランサムウェア被害が深刻化
2026年1〜6月の国内ランサムウェア被害報告 123件 半期として過去最多
警察庁の報告によると、VPN機器やリモートデスクトップを経由した侵入が引き続き大きな問題になっています。また、IPA（独立行政法人 情報処理推進機構）が公表した「情報セキュリティ10大脅威2026」では、次の脅威が上位に選ばれました。
1 ランサム攻撃による被害
2 サプライチェーンや委託先を狙った攻撃
3 AIの利用をめぐるサイバーリスク
4 システムの脆弱性を悪用した攻撃
5 機密情報を狙った標的型攻撃
特に注目すべきは、AIに関するサイバーリスクが初めて選出され、3位になったことです。
② 中小企業が攻撃対象になる理由
大企業は専門のセキュリティ担当者や監視システムを持っていることが多い一方、中小企業では次の課題が見られます。
＜専任のIT担当者がいない＞
- 古いパソコンやネットワーク機器を使い続けている
- パスワード管理や多要素認証が不十分
- バックアップを取っていても復旧訓練をしていない
- 委託先のセキュリティ管理を把握できていない
IPAも、中小企業がサプライチェーンの一部として攻撃対象になっていると警告しています。日本では今後、製造業、物流業、介護施設、医療機関、商業施設などで、事業継続の観点からサイバー対策の重要性がさらに高まると考えられます。
４．中小企業の対応について
中小企業に必要なのは、高額なシステムを一度に導入することではありません。
まず基本的な防御を整え、侵入された場合でも事業を継続・復旧できる仕組みを構築することが重要です。
① 優先して取り組む7つの対策
＜中小企業向けセキュリティ対策チェック項目について＞
１ 多要素認証の導入 ：メール、クラウド、VPN、管理者アカウントから優先
２ ソフトウェアの更新：Windows、サーバー、VPN、ルーターなどの脆弱性を修正
３ バックアップの確保：オフラインまたは変更不能なバックアップを保持し復旧テスト
４ 不審メールへの対策：送金先変更や請求書の確認は別の連絡手段で実施
５ 委託先の安全性確認：外部サービスの権限、保有データ、事故時の通知条件を確認
６ 監視と端末保護 ：EDRや監視サービスの導入を検討
７ 緊急対応訓練 ：事故時の責任者、連絡先、システム停止判断を決定
② 中小企業向けの公的支援を活用
2026年10月27日、中小企業庁はサイバーセキュリティ特別相談窓口を設置しました。また、IPAの「サイバーセキュリティお助け隊サービス」では、監視、相談、緊急対応支援、簡易サイバー保険などを組み合わせたサービスを利用できます。対象サービスの導入には補助金を活用できる場合もあります。
公式情報：IPA サイバーセキュリティお助け隊サービス中小企業庁 サイバーセキュリティ特別相談窓口
５．アドバンス・キド株式会社の提案
アドバンス・キド株式会社としては、従来の電気代削減に加え、「固定費削減＋ITセキュリティ＋事業継続対策」を中小企業に提案することが有効だと考えます。
① 電気代削減とセキュリティ対策の組み合わせ
１．中小企業の経営基盤を強化
アドバンス・キド株式会社の提案モデル（案）
電気代削減、固定費を見直し、サイバー対策、情報資産を守る、BCP対策、事業停止に備えます。
２．利益改善と経営リスクの低減
削減効果と安全対策を継続的に評価する。
例えば、電気料金を年間100万円削減できた企業が、その一部をセキュリティ対策に投資するという提案が考えられます。
以下は、年間削減額100万円を仮定した資金配分のシミュレーションです。
電気代削減額の再投資シミュレーション
年間削減額100万円を仮定。実際の削減効果・対策費用を保証するものではありません。
セキュリティへの再投資割合 30%
セキュリティ投資 30万円
年間純削減額 70万円
電気代を削減することは利益の改善につながります。その削減額の一部をセキュリティ対策に充てることで、事業停止や情報漏洩による損失リスクも低減できます。
② 具体的な提案サービス
|
提案分野 |
弊社の役割（案） |
|
電気料金の無料診断 |
直近12か月の請求書を分析し、削減可能性を確認 |
|
ITセキュリティ診断 |
専門企業と連携して現状の課題を把握 |
|
セキュリティ製品の導入 |
EDR、多要素認証、監視サービスなどを専門企業と提案 |
|
BCP・災害対策 |
停電対策、蓄電池、通信確保、データ復旧計画を支援 |
|
IT人材・SE派遣 |
専門技術者による導入・運用支援を検討 |
セキュリティ分野では、アドバンス・キド株式会社が顧客窓口や提案の取りまとめを担い、技術的な診断・監視・事故対応は専門企業と連携する形が現実的です。
③ 優先的に提案したい業種
１．製造業・工場
電気料金の削減に加え、生産設備や工場ネットワークの停止リスクを診断。
２．介護施設・老人ホーム
ITと制御システムの分離、バックアップなどを提案する。多拠点の電力契約見直しと、入居者情報の保護、介護システムの継続運用を組み合わせて提案する。
３．商業施設・ホテル
電気代、空調設備、予約・顧客管理システムのセキュリティを総合的に見直す。
４．物流企業
倉庫の電気料金削減と、在庫管理・配送管理システムの停止リスク対策を提案する。
まとめ ― 弊社が目指す方向について
今回のアララやGMOグループの事件は、デジタル化によって便利になった社会が、同時に新しい経営リスクを抱えていることを示しています。AIの進化は攻撃を高度化する一方、企業が自らを守る技術も進化させています。重要なのは、AIを恐れることではなく、適切に活用して経営を守ることです。弊社としては、「電気代を削減して利益を生み出し、その利益の一部をセキュリティとBCPに投資する。コストを下げながら、企業の安全性と持続可能性を高める。」
この方向であれば、これまでの電気代削減事業を生かしながら、中小企業の経営課題をより広く支援できます。特に今後は、「コスト削減」と「事業を止めない経営」を一体として提案することが、世の中の会社の耐久力を強くし、１社でも多く、元気な思いやりのある会社を存続させるお手伝いができると考えます。
以 上
