無料で相談する
無料で相談する
← Insights 一覧へ戻る

相次ぐ情報漏えい、公的発表に見えるのは「前からある穴」 — 日韓の一次資料から読む4つの基本

韓国の漏えい事故で当局が認定した不備は、パッチ未適用や退職後も使えた鍵など前からある穴だった。AI導入で増える鍵と権限も含め、点検すべき4つの基本を整理した。

要約

2026年秋、日本でも韓国でも不正アクセスによる情報漏えいの公表が相次いだ。日本では JPCERT/CC が、攻撃に使われた可能性のあるインフラを調べる過程で、攻撃者がAIを使って既知の脆弱性をスキャンしていた痕跡を確認したと公表した。では、AIによってまったく新しい穴が開いたのか。韓国で事故後に当局が不備を認定した事例を見ると、挙げられていたのはパッチの未適用や、退職後も使えた鍵といった、以前から知られている穴だった。日韓の公的機関が特定した手口も、サーバ側の認可の不備など同じ系統にある。本稿は日韓の一次資料をもとに共通点を整理し、AIを導入する側で増える「鍵と権限」も含めて、10〜50名規模の会社が点検すべき4つの基本をまとめる。

2026年の秋、日本では不正アクセスによる情報漏えいの公表が相次ぎ、JPCERT/CC や総務省が注意喚起を出した。韓国でも10月、銀行を含む金融会社16社（10月14日時点）で侵害が確認された。

同じ時期、JPCERT/CC は、攻撃に使われた可能性のあるインフラを調べる過程で、攻撃者がAIを使って既知の脆弱性のスキャンやAPI経由の攻撃をしていたことを確認したと公表した。

AIで、これまでになかった穴が開いたのか。日韓の公的機関の発表を並べると、見えてくるのは別の姿である。

日韓の公的機関が、この秋に出したもの

国発表要点
🇯🇵警察庁「令和8年上半期におけるサイバー空間をめぐる脅威の情勢等」（9月10日）ランサムウェアの被害報告は123件で、統計を取り始めた2020年下半期以降、半期として最多。被害組織へのアンケートでは、侵入経路はVPN機器が約5割。インターネットに露出した箇所から侵入する手口が多い
🇯🇵JPCERT/CC 注意喚起（10月8日公開、9日・23日更新）国内組織への不正アクセスで確認された手口を整理。既知の脆弱性を探して攻撃を試みるもの、公開アプリを解析してAPIの接続先や鍵を特定するもの など。23日の更新では、AIを使った侵入テスト用の基盤を悪用した攻撃の試行も加わった
🇯🇵JPCERT/CC ブログ（10月15日）攻撃に使われた可能性のあるインフラの調査で、攻撃者がAIを使って既知の脆弱性のスキャンやAPI経由の攻撃をしていた痕跡を確認
🇯🇵NICT（10月13日）・総務省（同日）公開されているAndroidアプリを解析し、接続先のサーバを狙う「A2B攻撃」を、相次ぐ漏えいの原因の一つとして特定。狙われるのはAPIの認可不備やSQLインジェクションなどサーバ側の不備
🇰🇷金融委員会（10月14日）金融会社16社で侵害を確認、流出は約10万件（いずれも暫定）。全金融会社555社の点検では130社が不備を自己報告。主な不備はパッチ未適用、メーカーのサポートが終わったシステム、24時間監視の未整備、外部向けシステムの認証・認可の抜け、多要素認証（MFA）の未導入

〈JPCERT/CC の確認は、攻撃元インフラ上の痕跡にもとづくもので、AIの種類や、国内の被害のうちどれだけにAIが関わったかは示されていない。NICT はAIで解析や探索が効率化する可能性に注意を促しているが、AIを使ったA2B攻撃を確認したとはしていない。韓国の16社の原因とAIの関与は、2026年10月時点で調査中である〉

共通点 — 当局の認定と手口に見える「前からある穴」

事故後に当局が不備を認定した事例と、公的機関が特定した手口を見ると、共通点ははっきりしている。

1. パッチを当てていなかった（事故後に当局が認定した不備）

韓国のあるカード会社では、2025年8月に約297万人分の顧客の信用情報が流出した。金融当局は2026年7月、事故後の検査で、オンライン決済システムの運営でパッチ適用を行っていなかったことなどの保安義務違反を認定し、新規会員向けカード業務の1.5か月停止と課徴金を科した。

2. 退職後も鍵が使えた（事故後に当局が認定した不備）

韓国の大手EC企業では、利用者情報3,367万3,817件の流出が政府の調査団によって確認された。攻撃したのは、在職中に認証システムの開発に携わっていた元従業員で、在職中に管理していた署名用の鍵を持ち出し、退職後にその鍵で認証を通過した。調査団は、退職時に鍵を更新する手順がなかったこと、在職中の開発者のノートPCにも鍵が保存されていたこと、開発と運用の権限が分かれていなかったことを指摘した。

3. サーバ側で「誰の、どのデータか」を確かめていない（公的機関が特定した手口）

NICT が特定した A2B 攻撃は、アプリそのものに脆弱性がなくても成立する。アプリから接続先やAPIの仕様を調べ、サーバ側の認可の不備や入力値の検証漏れを突く。総務省は、利用者側からの通信は信頼できるものとは限らないことを前提に、サーバ側で認証・認可や入力値の検証を行うことが重要だとしている。

〈編集部の見解〉どれも、AIが登場する前から知られていた穴である。AIが攻撃に使われるようになって変わるのは、穴の種類よりも穴を見つけるまでの速さと、一度に調べられる範囲だと考えている。なお警察庁は、高性能なAIが悪用されることで攻撃がより高速かつ大規模に行われるリスクへの懸念を示している。

日韓で違うところ

韓国では、2026年2月に政府の調査団が事故の原因を、7月に金融当局が事故後の検査で認定した不備を、それぞれ文書で公表した（秋の金融会社16社については調査中）。日本のこの秋の公的機関の注意喚起（JPCERT/CC・NICT・総務省）は、既知の脆弱性の探索、アプリ解析からのAPI攻撃といった手口ごとにまとまっている。

打ち手の性質も違う。

🇰🇷 金融委員会（10月14日）🇯🇵 総務省（10月9日）
文書の性質金融業界向けの制度改善方針所管事業者向けの注意喚起（内閣官房の注意喚起を伝えたもの）
主な内容経営陣・取締役会の責任の明確化、大手金融会社の脆弱性点検を年2回以上に、中小の金融会社の支援脆弱性への迅速な対応、MFAなどの認証の強化、委託先を含めた徹底、経営層の主導

〈編集部の見解〉対象も拘束力も違う文書だが、求めている中身は重なる。パッチ、認証、権限、そして経営層が自分の責任として扱うことである。

AIを導入する側で増える「鍵と権限」

ここまでは攻撃する側の話だった。もう一つ、AIを導入する側にも目を向けておきたい。

業務にAIを入れると、外部のサービスとつなぐためのAPIキーや、AIに渡す権限が増える。AIに社内のファイルやメール、顧客データを読ませるたびに、「誰が、どの鍵で、どこまで触れるか」の組み合わせが増えていく。

総務省が2026年3月に公表した「AIのセキュリティ確保のための技術的対策に係るガイドライン」は、AIを開発・提供する事業者向けの資料だが、AIと連携するシステムを操作する仕組みの権限を必要最小限にする（最小権限の原則）という考え方を示している。〈編集部の見解〉この考え方は、AIを導入して使う側の会社にもそのまま当てはまる。退職後も鍵が使えた前述の事例は、AIのために発行した鍵でも同じように起こりうる。

点検すべき4つの基本

日韓の公的機関が推奨する対策（パッチ、認証の強化、権限の最小化、外部に露出した部分の管理）を、10〜50名規模の会社向けに編集部が整理した。担当と頻度は編集部の目安である。

何を誰が・いつ最初の一歩
1外から見えているものの一覧IT担当（兼任でよい）が四半期ごとVPN機器、公開しているWebサービスやアプリ、リモート接続の入り口を書き出す
2パッチとサポート期限同上。緊急の脆弱性情報が出たらその週のうちに1の一覧に「最後に更新した日」と「メーカーのサポート終了日」の列を足す
3鍵と権限管理者が、入社・退職・異動のたびにAPIキーやAIに渡した権限を一覧にし、持ち主を決める。退職時に止める鍵のリストを用意する
4多要素認証（MFA）管理者が一度設定し、例外を毎月確認管理者アカウントとリモート接続から先に有効にする

1が空欄のままだと、2から4は抜けが出る。一覧から漏れたサーバは、パッチの確認からも漏れる。

まとめ

  • 2026年秋、日本でも韓国でも情報漏えいの公表が相次いだ。JPCERT/CC は、攻撃に使われた可能性のあるインフラの調査で、攻撃者がAIを使って既知の脆弱性をスキャンしていた痕跡を確認した
  • 韓国で事故後に当局が不備を認定した事例では、挙げられていたのはパッチの未適用と、退職後も使えた鍵などだった。公的機関が特定した手口でも、狙われるのはサーバ側の認可の不備など前からある穴である
  • AIを導入すると、守るべき鍵と権限が増える
  • 点検すべきは ①外から見えているものの一覧 ②パッチとサポート期限 ③鍵と権限 ④MFA。最初は1の一覧づくりから

AISolve は、AIを業務に入れる前の「鍵と権限」の棚卸しから支援しています。

→ お問い合わせ

→ AX / DX 簡易診断

本稿が依拠した資料

本稿は2026年10月26日時点で公表されていた公的機関の資料にもとづく。