～AI时代に警戒すべきは、脆弱性や设置不备を狙う攻撃の「量」と「速度」の変化～

情报漏えいIT対策などセキュリティに特化したサービスを提供する株式会社ブロードバンドセキュリティ（本社：东京都新宿区、代表取缔役社长：森泽 正人、以下 BBSec）は、国内で相次ぐ不正アクセスによる被害の公表を受け、インターネットに公开されたWebサービスを运営する企业・団体に対し、基本的なセキュリティ対策の再点検を提言します。

BBSecは、AI时代に企业・団体がまず警戒すべきは、特殊な新しいサイバー攻撃よりむしろ、脆弱性や设置不备を狙う従来型の攻撃の「量」と「速度」の変化であると考えます。この见解に基づき、Webアプリケーション、システム间の连携に使うAPI、コンテンツ管理システム（CMS）、管理者用画面などを対象に、脆弱性の修正、设置の适正化、认证・権限管理を彻底し、対策の実効性を継続的に确认することを呼びかけます。

AI时代に警戒すべきは、脆弱性や设置不备がより多く・より速く狙われること

「AIを使った攻撃」と闻くと、これまでの対策が通用しない特殊な攻撃を思い浮かべるかもしれません。しかし、BBSecが企业・団体にまず警戒を促したいのは、従来から対策が求められてきた脆弱性や设置不备を狙う攻撃が、AIによって、より多く・より速く行われるようになることです。

攻撃者がAIを活用することにより、攻撃対象システムの调查や脆弱性の発见が効率化され、より多くの対象を、より短时间で狙えるようになると考えられます。つまり、BBSecは、企业・団体にとって身近な胁威は、「知らない手口で攻撃されること」よりむしろ、「未修正の脆弱性や设置不备を、対処する前に突かれること」にあると考えます。

英国国家サイバーセキュリティセンター（NCSC）も、2027年に向けて、新たな攻撃経路の创出よりも、既存の攻撃手法の进化・强化を通じて、AIが侵入の量と影响を増大させると予测しています。また、既知の脆弱性が公表されてから悪用されるまでの时间も、さらに短缩するとしています※1。

実际、BBSecに寄せられたセキュリティインシデントに関するお问い合わせでも、不正アクセスに関する相谈の割合が、2026年1～7月の37.3％から8月以降は52.9％へ上升しています。

BBSecへのセキュリティインシデント相谈の内訳推移

※2026年10月7日までの集计

だからこそ、公开Webサービスの基本対策を再点検する

公开Webサービスでは、Webアプリケーションの脆弱性、设置不备、认证・アクセス制御の不备など、従来から対処が求められてきた问题への备えが引き続き重要です。独立行政法人情报処理推进机构（IPA）も「安全なウェブサイトの作り方」において、こうした脆弱性への対策と、Webサイトの安全性を高める运用上の取り组みを示しています※2。

BBSecは、AI时代の备えとして、まず基本対策の彻底を优先すべきと考えます。攻撃者が脆弱性や设置不备を见つけて悪用するまでの时间が短くなるからこそ、防御侧も问题の把握から修正・再确认までを滞りなく进める必要があります。

过去に脆弱性诊断やセキュリティ対策を実施したWebサービスでも、その后に追加されたAPI、更新されたCMS、管理者用画面、関连するクラウド环境などに、対策の抜け漏れが生じていないかを确认することが必要です。「以前に诊断した」「対策制品を导入した」という状态で止めず、现在の公开范囲と构成に合わせて、対策の実効性を见直すことを提言します。

あわせて、不审なアクセスを早期に把握し、被害拡大を防ぐ対応も重要です。BBSecは、公开资产の把握、脆弱性の诊断と改善、継続的な监视、セキュリティ事故（インシデント）対応を通じて、公开Webサービスの安全性と事业継続を支持します。

企业・団体に推奨する三つの点検

1. 侵の入口を减らす

－公开しているシステムと、认证・権限の管理状况を确认します－

Webサイト、API、CMS、远隔接続に使うVPN机器、クラウド环境などに加え、旧环境・検证环境や外部连携先も把握し、不要な公开、未修正の脆弱性、设置不备を确认します。诊断済みのシステムについても、机能追加や构成変更が诊断范囲に反映されているか、指摘事项が修正されているかを确认します。

管理者・保守アカウントの多要素认证、不要アカウントの削除、権限の最小化、APIへの接続に使う认证情报（APIキー等）の管理を点検します。决済や会员情报の変更などの机能では、他の利用者の情报への不正なアクセスや、権限のない操作を防げるかも确认します。

1. 侵入や异常を早く见つける

－异常を検知できるかに加え、検知后に対応できるかを确认します－

不审なログイン、强い権限を持つアカウント（特権アカウント）の不正な作成、権限変更、情报の大量取得などを把握するため、必要なログ（システムの动作やアクセスの记录）の取得・保管、监视対象の抜け漏れ、検知后に分析・判断する担当者と対応手顺を确认し、夜间・休日も対応できる体制を整えます。

広告タグ、アクセス解析タグ、外部サービスを利用した问い合わせフォーム、动画・SNS连携などの外部スクリプト（外部サービスが提供するプログラム）は、利用目的、管理担当者、読み込むスクリプトと通信先を把握します。外部サービスの変更や改ざんによる想定外の通信は、自社サーバーの监视だけでは把握できない场合があるため、利用者のブラウザーで発生する通信も确认します。

1. 被害の拡大を抑え、复旧につなげる

－被害発生时の判断・连络体制と、调查・复旧の手顺を确认します－

端末の隔离やサービス停止の判断者、调查に必要なログ等の证拠保全手顺、委托先・関系部门との连络方法を明确にします。バックアップが不正な削除や暗号化の影响を受けにくい形で保管され、実际に复元できるかを确认し、初动から调查・复旧までの手顺を训练等で検证します。

侵入が疑われる场合は、脆弱性の修正に加え、过去の侵入の痕迹や被害范囲を调查します。ダークウェブ※3等の调查は、漏えい情报の外部公开状况を把握する补助手段となります。

BBSecによる支持

BBSecは、Webサービスのみならず企业・団体全体で対策に抜け漏れがないかを确认し、リスクと业务への影响に応じて、优先して改善すべき事项の整理を支持します。

1. 侵入の入口を减らすための支持

インターネットに公开されているシステムを调查し、把握できていなかった公开资产や、攻撃の入口となる脆弱性や设置不备を确认します。公开资产の调查、Webサービスの脆弱性の诊断、クラウドの设置诊断などで、问题の把握と改善を支持します。

1. 侵入や异常を早く见つけるための支持

システムのログなどを监视して不审なアクセスを検知し、原因や影响范囲の分析から、被害拡大を防ぐための対処までを支持します。また、Webサイトで利用する広告やアクセス解析などの外部スクリプトの通信先を监视し、危険なサイトへの诱导や情报漏えいにつながる不审な通信の把握を支持します。

1. 被害の把握と复旧に向けた支持

被害発生时の対応体制や対応手顺の整备、被害の原因や范囲を明らかにするための调查、复旧・再発防止に向けた対応を支持します。また、ダークウェブ调查により、被害が判明した际の漏えい情报の外部公开状况の把握に加え、まだ认识されていない情报漏えいの兆候の把握を支持します。特に、公开Webサービスでは、情报漏えいがサービス停止などの目に见える异常を伴わない场合もあり、外部での情报の公开・流通状况が、被害に気づく手がかりとなります。

各支持の対象范囲や提供条件は、お客様の环境やご要望を确认したうえで个别にご案内します。

BBSecは、リスクの把握や対策の导入から継続的な监视・运用、有事の対応までをつなぐことで、企业・団体の情报资产の保护、サービス利用者の安全确保、事业継続を支持してまいります。

【ご相谈とお问い合わせ】

当社では、不正アクセスや情报漏えいなどのセキュリティ事故が発生した场合や、その疑いがある场合に备え、サイバーインシデント紧急対応ご相谈窓口を设けています。

サイバーインシデント紧急対応ご相谈窓口：

https://cr.bbsec.co.jp/cyberincident119

フリーダイヤル：0120-085-490

その他、サイバーセキュリティ対策状况の点検や改善の优先顺位のご相谈については、当社営业担当または当社Webサイトからお问い合わせください。

https://www.bbsec.co.jp/

【BBSecについて】

BBSecは、2000年创业のトータルセキュリティ・サービスプロバイダーです。现状の可视化や诊断から事故発生时の対応、24时间/365日体制での运用まで、フルラインアップのサービスを提供しています。高い技术力と豊富な経験、幅広い情报収集力を生かし、「サプライチェーンを狙った攻撃」「社会インフラを狙った攻撃」「AI时代のセキュリティ」を解决すべき社会课题ととらえ、より多くのお客様を悪意ある攻撃者から守ることで、「便利で安全なネットワーク社会を创造する」というビジョンを実现します。

【参考数据】　2026年10月7日确认

※1 英国国家サイバーセキュリティセンター（NCSC）／「Impact of AI on cyber threat from now to 2027」／2025年5月7日

https://www.ncsc.gov.uk/report/impact-ai-cyber-threat-now-2027

※2 独立行政法人情报処理推进机构（IPA）／「安全なウェブサイトの作り方」

https://www.ipa.go.jp/security/vuln/websecurity/about.html

※3 ダークウェブ：専用のソフトウェア等でアクセスする、通常の検索エンジンでは検索できないインターネット上の领域。漏えい情报の公开・売买に利用されることがあります。