サイバー攻撃はAIで6時間、修正は43日。情報漏洩の当事者が語る企業と個人の防衛策

2026年10月8日、第一港湾が、お客様情報の漏洩の恐れを発表しました。CEOセオさんの会社は、この件で個人情報の取り扱いを委託されていた業務の当事者です。

CEOセオさんによると、第一港湾の公表の段階では、外部への漏洩や不正利用は確認されていません。現在は外部の専門機関とともに、原因と影響の範囲を調べているといいます。

あわせてCEOセオさんは、身に覚えのないメールやSMS、電話に注意してほしいと呼びかけました。第一港湾からパスワードやクレジット情報を尋ねることはないとも伝えています。

そのうえでCEOセオさんは、連日のように各社の情報漏洩が報道されるなか、当事者としてサイバー攻撃にどう向き合うべきかを考えたいと話し、本題に入ります。

CEOセオさんは、国内で起きている漏洩事案を3つのパターンに分けて整理しました。自社の基盤そのものが突破される型、委託先が攻撃される型、そしてクラウドが攻撃されて利用企業に波及する型です。

CEOセオさんが強調するのは、この3つが同時多発的に起きているという点です。どこにデータを預けていても攻撃される状況だからこそ、各社がそれをどう捉えるかを考えなければいけないと話しています。

国も動いています。個人情報保護委員会個人情報保護委員会 ── 個人情報保護法に基づき、個人情報の適正な取り扱いを監督する国の行政機関は2026年10月7日に注意喚起を出し、アクセス制御や多要素認証、パスキーの利用、不要なデータの消去などを求めました。

警察庁に報告されたランサムウェアランサムウェア ── データを暗号化するなどして使えなくし、復旧と引き換えに身代金を要求するマルウェアの被害は、2021年の146件から、その後は毎年200件を超える状況が続いているといいます。別の報道では、15億件以上の攻撃が観測されているとも紹介されました。

CEOセオさんは、OpenAIのサム・アルトマンCEOが、最も注意しなければいけないのは銀行だと話していたことにも触れています。突破できてしまう時代だからこそ、守る側にもAIの活用が求められるという見立てです。

世界に目を向けると、漏洩1件あたりの世界平均コストは7.9億円で、前年比12%増と過去最高だといいます。侵入の入り口の3割はシステムの穴の悪用で、盗まれたパスワードを初めて上回ったとも紹介されました。

脆弱性が見つけられるスピードが上がっている背景について、CEOセオさんはAIの存在もおそらくあるのだろうと話しています。

海外の事例としては、デンマークで国の住民名簿から880万人分が漏洩したケースや、米国で市場調査サービスに認証情報が残っていて約200社に波及したケースが挙げられました。

だからこそ、漏洩をどう防ぐかは企業や国が考えなければいけない、とCEOセオさんは続けます。時代が変わったいま、あらゆる考え方を変える必要があるという問題意識です。

CEOセオさんは、個人ができる対策も共有しました。パスワードが盗まれていなければ、すぐにログインされる心配は基本的にないといいます。

個人が気をつけるべきなのは、本物っぽい詐欺の連絡です。名前や電話番号が漏洩すると、今回であれば第一港湾のふりをして、さらにパスワードを盗みに来るなりすましなりすまし ── 他人や企業を装って連絡し、相手を信用させて情報やお金をだまし取る手口が起こりうると説明しています。

情報漏洩がこれだけ多いと、自分の情報がどのサービスから漏れたのかわからないのが怖いところだ、とCEOセオさんは話します。そのうえで挙げられた対策を、順番に整理すると次のようになります。

フィッシングサイトの通報について、CEOセオさんはいたちごっこのようになってしまうと認めつつ、しらみつぶしに悪質なサイトを排除していくことが必要だと話しています。

AIを使ったサイバー攻撃について、日本の国家サイバー統括室の幹部は、国内では現時点でAIを使った攻撃の証拠はないとしています。一方で、海外ではAIが攻撃に使われた事例がすでに確認されているとも話しているそうです。

CEOセオさんが例に挙げたのは、AnthropicAnthropic ── AIアシスタント「Claude」を開発するアメリカのAI企業の発表です。2025年9月、中国の国家支援とみられる集団がClaude Codeを操作して30数種の侵入を試み、作業の8〜9割をAIが実行していたといいます。

さらにGoogleも、攻撃者がAIエージェントを使い、大規模な認証情報の収集を6時間未満で計画・実行していた事例を発表しています。韓国の銀行への攻撃にAIエージェント型のツールが使われていたという話も紹介されました。

CEOセオさんによれば、AIはセキュリティホールを見破り、脆弱性を発見して攻撃を仕掛けるところまでできてしまいます。職場でAIを使う人が増え、身近になるほどリスクにもなるという指摘です。

一方で、AIは守る側にも使えます。AnthropicのProject Glancingというサービスでは、2026年4月から7月の3か月で、連携先で少なくとも13万件ほどの脆弱性を発見したといいます。AIをうまく活用すれば、漏洩1件あたりのコストも3億円下がると言われているそうです。

脆弱性は見つけるだけでは足りず、直さなければ意味がありません。ところがCEOセオさんによると、重大な脆弱性を完全に直せるのは26%ほどにとどまり、修正には平均43日かかっているといいます。

CEOセオさんはこれを「攻撃は6時間で来るのに、補修工事に43日かかる」という単純計算で表現しました。脆弱性の修復もAIで6時間を下回る即時に解決できるようにしなければ、「AIだから防げない」という言い訳になってしまうと話しています。

CEOセオさんの会社はAIファーストを掲げています。そのうえで、著作物や権利の問題も含め、AIによって起きる被害や損害から人の尊厳をどう守るかを考えてビジネスを展開しなければいけない、と強く感じているといいます。

人間ができることとしてCEOセオさんが挙げたのは、守ることに妥協しないという姿勢です。AIの時代だから漏洩するのは当たり前だという気持ちは全くないと言い切っています。

委託を受ける側から公式に見解を述べることは通常ない、とCEOセオさんは前置きしています。それでも、経営者マインドを掲げてニュースを深掘りしてきた番組として無視できないと考え、会社としての公式発表とは別に、あえて個人の意見として取り上げたと説明しました。

最後にCEOセオさんは、第一港湾をはじめ被害を受けた関係者に改めてお詫びし、この回を締めくくっています。

まとめ

この回は、情報漏洩の当事者となったCEOセオさんが、AIによって速度を増すサイバー攻撃と、追いつかない修復の現実を整理し、企業と個人がとるべき姿勢を語った内容です。

• 自社基盤・委託先・クラウドの3つのパターンの攻撃が同時に起きており、どこにデータを預けても狙われる状況になっている
• AIを使った攻撃は6時間未満で実行される一方、脆弱性の修正には平均43日かかっている
• 個人は公式アプリやブックマークから入る、パスワードの変更、多要素認証、明細の確認で身を守れる
• 攻めのAIだけでなく守るAIに取り組み、「AIだから漏洩は仕方ない」と妥協しないことが企業に求められる