サマリ
2026年上半期は、AI技術の急速な進化がサイバー攻撃と防御の両面を大きく変えた転換期です。AIエージェントによる自律攻撃、ランサムウェアの高度化、サプライチェーン攻撃の深刻化が主要脅威として浮上。同時に、法規制の整備やセキュリティ対策評価制度の本格運用が企業に新たな対応を迫っています。
詳細
AI時代のサイバー攻撃――「自律化」への転換
もっとも衝撃的なのが、AIエージェントによる攻撃の「自律化」です。従来は人間が指示し、AIが実行するモデルでしたが、2025年9月には中国のハッカーグループが攻撃工程の80～90%を自律的に実行させていたことが判明しました。偵察から脆弱性発見、攻撃コード生成、横展開まで、AIが自ら判断して実行します。このような高度なAI攻撃は、従来の「境界防御」では対応不可能な脅威となっています。
一方、防御側でもAI導入が加速しています。ガートナーの予測では、2030年までに「予測型防御」がセキュリティ支出全体の半分を占めるようになるとのことです。これは、攻撃を検知してから対応する従来モデルから、脅威を予測して先制する方針への大きな転換を示しています。
ランサムウェア被害の「質の変化」
2025年のランサムウェア身代金支払総額は約1,279億円で、前年比8%減少しました。しかし重要なのは「数字の裏側」です。攻撃件数は前年比50%増で、中央値は約929万円へと368%も急増しています。つまり、攻撃者は支払い率の低下に直面し、より高額の要求へシフト。交渉強硬化、従業員・顧客への直接接触、盗んだデータを活用した具体的な脅迫へと手口を進化させています。
特に注目すべきは「マルウェアレス型」と呼ばれる新手です。データを暗号化せず、クラウドストレージのアクセスキーを悪用して直接削除する手法。これは攻撃者にとってプログラム開発の工数を削減でき、2026年以降、主要な攻撃手法として定着する可能性が高いです。
サプライチェーン攻撃の波及効果
大企業のセキュリティが強化される一方で、中小企業を狙う傾向が強まっています。被害件数全体の88%が中小企業で、大企業への攻撃はサプライチェーン経由へシフトしました。特に危険なのが「逆流型」攻撃で、下請け企業の被害が親会社へ波及。さらに、その親会社の取引先まで連鎖的に影響を受けるケースも報告されています。
生成AI悪用の深刻化
生成AIは便利な一方で、攻撃者の武器としても活用されています。完璧な日本語でのフィッシングメール作成、ディープフェイクによる詐欺（2025年第1四半期だけで310億円相当の被害）、そしてプロンプト・インジェクションによるAI乗っ取り。さらに問題なのは「倫理的ガードレールなし」のAIツール。ダークウェブで流通するこれらのAIは、ウイルス作成成功率93%という数字が示す通り、攻撃の敷居を大きく下げています。
規制・制度面での急速な動き
2026年は規制強化の年です。2026年10月に施行される「サイバー対処能力強化法」は、重要電子計算機を管理する事業者にセキュリティ対策を義務付けます。さらに経済産業省が主導する「サプライチェーン強化に向けたセキュリティ対策評価制度」は、2026年度下期の運用開始を予定。企業は取引条件としてセキュリティ対策の達成状況を可視化せざるを得ないプレッシャーに直面しています。
今後の展望
サイバーセキュリティ市場は急成長しています。世界のセキュリティ市場は2026年に約306～312億ドル規模に達し、年平均成長率は11～13%。特にクラウド関連セキュリティと「AI駆動型脅威検知」が主導権を握ります。日本市場も2026年から2034年にかけてCAGR 9.5%の成長が予測されており、政府主導のセキュリティ強化とAI活用が市場を牽引するでしょう。
防御側が対応すべき最大の課題は「人材不足」です。AI対AIの時代では、AIツールだけに頼れません。最終的な判断と戦略的対応には、セキュリティの深い知識を持つ人材が不可欠です。これからの企業戦略は、技術投資と人材育成のバランスにかかっています。
コメントを残す