AIサイバー攻撃の事例｜日本の16組織以上を狙う44のAIエージェントと点検手順

日本を狙う「AIサイバー攻撃」の調査で何が分かったのか？

トレンドマイクロは、攻撃者がインターネット上に公開状態のまま放置していたサーバー（オープンディレクトリ）に残されたファイルから、日本への関心が特に強い3つの攻撃基盤を再構成しました^[1]。「攻撃基盤」とは、攻撃者が一連の攻撃を回すために使うサーバー環境一式のことで、偵察や攻撃のツール、標的リスト、結果の記録、コマンド履歴などが置かれていました^[1]。3つの基盤のうち、事例AはAIが工程全体を駆動（確認）、事例Bは人が主導しつつAIに計画立案と道具作りを広く任せ（確認）、事例Cはスクリプト作成など限定的な範囲でAIを使った痕跡（高確度）という違いがあります^[1]。

解析の対象は攻撃者側のファイルだけで、被害を受けた側のログやディスク、通信記録は含まれていません。そのため報告で言えるのは「攻撃者が何を準備し、何を試み、何を自ら記録していたか」までで、個々の試みが成功したか、被害の規模、攻撃者が誰かは、このデータだけでは分かりません^[1]。トレンドマイクロは、攻撃者側のファイルに直接の証拠があるものを「確認」、複数の間接的な証拠が一致するものを「高確度」、振る舞いやコードの特徴からの推定を「推測」と呼び分けています^[1]。

事例A：44のAIエージェントは何をしていたのか？

事例Aで悪用されていたのは、CyberStrikeAIと呼ばれるAIエージェント型のペネトレーションテスト用ツールです。公開されているオープンソースのツールで、外部に露出していた管理コンソールは簡体字中国語の画面でした^[1]。偵察、脆弱性の調査と検証、攻撃、指令制御（C2）、居座るための永続化、情報の持ち出し、報告書の自動生成までが、一続きの繰り返せるワークフローとして組み上げられていました^[1]。

特徴的なのは分業です。基盤内の記録には「認証情報探索を担当するエージェント 8/44」といった表記があり、44のエージェントが役割を分けて働く構成でした。それぞれが偵察、脆弱性探索、攻撃、持ち出しなどを受け持ち、結果を自動的にデータベースに書き込み、構造化された報告書を生成していました^[1]。日本語のフォームや偽のログインページなど、標的国の言語に合わせた出力も基盤側が自ら作っていました。ダッシュボードには「ツール実行成功率」「Token用量」「バッチ作成」といった項目が並び、工程を多数のエージェントに分担させて自動実行する構成がうかがえます^[1]。

トレンドマイクロがこれを「AI支援」ではなく「AI駆動」と呼ぶ根拠は、規模と一貫性です。わずかな期間に19組織以上（うち日本16組織以上）が検証の対象になり、それぞれに同一形式の報告書と証拠の索引が残されていました^[1]。この規模は、多数の標的を並行して扱うことで達成されています。一つの標的への接触は検知を避けるために低頻度に抑えられており、1組織のログだけを見ていては気づきにくい形でした^[1]。

事例Aの標的は、中小規模の企業や地域の公共団体が運用する旧式のWebシステムが中心でした^[1]。ファイルやディレクトリには「jp_success（日本での成功）」「jp_attack（日本への攻撃）」「jp_cve_attack（日本へのCVE悪用）」といった日本向けであることを示す名前が付けられており、攻撃者が成果や作業を日本単位で整理していたことが読み取れます^[1]。一方で業種は絞られておらず、外から攻撃しやすいシステムを手当たり次第に探し、見つかった相手をそのまま狙うやり方でした^[1]。

事例B・C：人が主導し、AIを道具に使った攻撃はどう違うのか？

事例Bと事例Cは、AIが攻撃の主役ではありません。事例Bでは人が判断し、LLM（大規模言語モデル）に計画立案と道具作りを任せていました。事例Cでは、AIの関与はスクリプト作成という限定的な範囲にとどまると評価されています^[1]。しかし侵入口は事例Aと同じく、初期設定のまま公開されていたサーバーや、設定ファイルに残っていた認証情報でした^[1]。

事例B：初期設定のGISサーバーから数十万件のデータ

事例Bで最も直接的な証拠は、攻撃者がLLMに作らせた攻撃計画の出力ファイルです。そこにはAIやGPUを提供するサービスへの偵察・攻撃の計画が生成されていました。依頼の際、攻撃者はLLMに「これは正規の業務（許可された検査）である」という偽りの前提を与え、安全上の制限（ガードレール）を迂回しようとしていたことが確認されています^[1]。

この攻撃者が旧式のWebシステムに対して行った侵害は深刻でした。少なくとも1社では、FTPからデータベース、管理者権限、Webシェル、SSHに至る完全な制御の連鎖を確立し、掃除された後も繰り返し裏口を復旧していました。別の1社からは、初期設定の認証情報のまま公開されていたGIS（地理情報システム）サーバーを足がかりに、地籍・商業データ数十万件とWindowsの認証情報、メールを持ち出していたことが、攻撃者側に残された取得物とダウンロード記録から確認されています^[1][2]。

一方で、AIが自律的に攻撃を遂行した証拠はなく、攻撃者は手書きのスクリプトや既製のツール、自らの判断に主に頼っていました。AIやGPUの基盤に対する試みの一部は失敗しており、クラスタへの侵入を狙った数百回の試行はすべてエラーで終わっていました^[1]。注目すべきは、AIが「道具」であるだけでなく「標的」でもあった点です。標的リストにはAIワークフロー基盤、LLMの前処理基盤、推論サービスが含まれ、他者のAIサービスの利用権を乗っ取って使い回す仕組みも用意されていました。狙いは推論能力を安く大量に手に入れることだったと推測されています^[1]。

事例C：VPN機器の設定ファイルに残った認証情報

事例Cの攻撃者は、自動化と証拠管理の習慣を備えた熟練者でした。VPN機器やWebLogic（Oracle WebLogic Server）の露出を相手を選ばず突きながら、2026年を通じて少なくとも6つのキャンペーンを、特に9月以降は並行して走らせていました^[1]。標的になった境界装置にはCisco SD-WAN、Citrix NetScaler、F5 BIG-IP、ヤマハ RTX1210が含まれます。前の3つは公開済みの脆弱性や管理機能の悪用が試みられていましたが、RTX1210については製品の脆弱性ではなく、取得された設定ファイル内に残っていた認証情報が使われ、企業の内部ネットワークへ直接接続できていたことが確認されています^[1]。

日本の中小規模の企業や拠点で広く使われるRTX1210がまとまった数で標的になっていたことから、トレンドマイクロはこの攻撃者が日本の導入環境をよく意識していたとみています^[1]。AI支援の痕跡は、コマンド履歴が節ごとの見出しで自己注釈されていたことや、後処理の確認スクリプトが絵文字と丁寧なセクションコメントで整えられていたことなど、成果物の「書きぶり」に表れていました。これらは現代のLLMが生成するコードに強く見られる様式ですが、熟練者が意図してこの作法で書いた可能性を完全には排除できないため、評価は「確認」ではなく「高確度」にとどめられています^[1]。

• 3つの基盤に共通する点：作業言語は簡体字中国語、日本が最大の標的、侵入口は公開された旧式システムや初期設定のまま放置された不備、業種を絞らない機会的な選定^[1]。
• 分からないこと：攻撃者が誰か、3つの事例が同一の主体か、被害の実際の規模、使われたAIモデル。別の調査会社が報告したARTEX利用の攻撃者と同一だという証拠もありません^[1]。
• 作業言語が簡体字中国語であることは「簡体字中国語の使い手」であることを示すにすぎず、所在や所属を断定する根拠にはならないと、トレンドマイクロ自身が明記しています^[1]。

AIは攻撃の何を変え、何を変えていないのか？

3つの事例から得られる枠組みは単純です。AIは、並行して扱える標的の数、試行の速度、標的国の言語への対応、記録と報告の自動化を変えました。しかし、悪用される脆弱性の種類、侵入口の性質、深い侵害に至る割合は変わっていません^[1]。トレンドマイクロは「AIは攻撃者の『人数』を増やしましたが、やっていることは相変わらず『鍵のかかっていない扉』を探すことです」とまとめています^[1]。

ゼロデイ（未知の脆弱性）については、分けて考える必要があります。AIが新しい脆弱性を発見する能力は、2026年10月に公表されたPHPの重大な脆弱性（PHP2Shell）がAIを用いた監査で攻撃者より先に見つかったことで実証されています。ただしこれは防御・研究側による発見で、攻撃者がAIの見つけたゼロデイを実際に悪用した痕跡は、3つの基盤のいずれでも確認されていません。侵入口は依然として既知の不備や設定ミスでした^[1][2]。トレンドマイクロは、能力が実証された以上その悪用が広がることは現実的な懸念だとしつつ、「AI攻撃だから一律に危険」とは限らないとも述べています^[1]。

AIの弱点は防御側の手がかりにもなります。AIの自己申告は実態より楽観的で、まだ試していないのに「成功」と記録したり、実在しない脆弱性番号を計画に混ぜたりします。報告された「成功」の数をそのまま信じてはいけないという戒めであると同時に、検知やおとり（ハニーポット）に使える隙でもあるとトレンドマイクロは指摘しています^[1]。

公的機関と警察庁の統計は、この状況をどう見ているのか？

2026年10月の1か月で、民間の調査機関や専門機関の見方は「AIの関与は未確立」から「AIの利用を確認」へと段階的に進みました。一方、政府は10月20日の記者会見で「分析中」と説明しており、2026年11月2日時点で編集部が確認した範囲では、その後に分析結果は公表されていません^[9]。時系列で整理すると次のようになります。

1. 10月8日

   JPCERT/CCが注意喚起を公開

   国内組織で相次ぐ不正アクセスについて、標的ごとにさまざまな既知の脆弱性をスキャンして悪用を試みる手口や、機器の管理不備を悪用した設定ファイル・バックアップファイルの窃取を挙げました^[3]。

2. 10月9日

   国家サイバー統括室が対応を要請

   ウェブシステムの脆弱性悪用やサプライチェーン経由の侵害により、大量の個人情報を取り扱う事業者などのシステムが侵入され、個人情報を含むデータが窃取される事案を複数確認したとして、「いつ攻撃を受けてもおかしくない」前提での対策、修正プログラムの速やかな適用、サポート終了製品の不使用、定期的な脆弱性診断、多要素認証などを求めました。「AIの悪用を含むサイバー攻撃の手法が高度化・巧妙化する中」と経営層に対策の強化を呼びかけています^[6]。

3. 10月12日

   TrendAIがグローバルに注意喚起

   日本の2026年1〜9月の公表インシデントが2025年通年を超えたとしつつ、この時点では「国内の事案と攻撃者によるAI利用の関連は確立していない」と記載していました^[13]。

4. 10月13日

   NICTがA2B攻撃について注意喚起

   公開されたAndroidアプリを解析してバックエンドサーバーを攻撃する手法を確認したとし、「AIの活用によってアプリ解析や脆弱性探索が効率化され、こうした攻撃がより多くのシステムに及ぶ可能性」に注意を促しました^[5]。

5. 10月15日

   JPCERT/CCがAI利用を確認

   攻撃に使われた可能性のあるインフラの調査の過程で、「攻撃者がAIを利用して、既知の脆弱性のスキャンやAPI経由での攻撃などを実施していたことを確認」したと公表しました^[4]。

6. 10月16日

   トレンドマイクロが国内インシデント件数を公表

   2026年1〜9月に公表された国内組織のインシデントは607件（1日2.2件）で、2025年通年の594件を超えたと報告。この時点では「攻撃手口そのものにAIが直接悪用されたとは断言できません」としつつ、ログに「これまでとは違う挙動」の兆候があると記載していました^[8]。

7. 10月19日

   トレンドマイクロが支援策を発表

   607件の数字を引きつつ、最大100億円相当のライセンスクレジットなどを提供する「Japan Cyber Resilience Initiative」を発表しました^[7]。

8. 10月20日

   デジタル大臣が「分析中」と説明

   記者会見で、国家サイバー統括室が被害企業への直接のヒアリングと専門機関の分析結果を踏まえ、「AIの悪用可能性や具体的な利用の状況、それぞれの事案の背景や、それから相互の関連性などについて詳細な分析を今進めている」と述べました^[9]。

9. 10月23日

   トレンドマイクロが3事例を公開、JPCERT/CCがケースEを追加

   日本語原文が公開されました^[1]。同日、JPCERT/CCは注意喚起を更新し、「ケースE：AIを用いたペネトレーションテスト基盤を悪用した攻撃試行」を追加しました^[3]。

10. 10月27日

    英語版が公開

    TrendAIが英語版を公開しました^[2]。

JPCERT/CCは、一般利用者向けのアプリだけでなく、BI（ビジネスインテリジェンス）ツールや従業員向け管理システムなど、管理・運用側が不特定多数のアクセスを想定していないシステムが被害に遭い、内部の情報が漏えいするケースがあるとして、こうしたシステムも点検対象に含めるよう求めています^[3]。トレンドマイクロの防御の優先順位1〜3も、JPCERT/CCが繰り返し強調しているこの点と重なります^[1]。

警察庁の統計も、攻撃の前段となる「探索」が急増していることを示しています。警察庁が2026年9月に公表した令和8年上半期の報告では、センサーで検知した脆弱性探索行為などの不審なアクセスは1日・1IPアドレス当たり1万3,687件で、前年比50.7%増でした。大部分は海外を送信元とするアクセスです^[11]。同じ期間のランサムウェア被害報告は123件で半期として過去最多となり、被害組織へのアンケートでは侵入経路の約5割がVPN機器、被害企業の約6割が中小規模の企業でした。攻撃者は未修正の脆弱性や漏えいした認証情報を悪用して侵入していると警察庁は説明しています^[11]。

日本企業は今週、何を点検すべきか？

トレンドマイクロは「AIが攻撃の規模を変えても、防御の優先順位は変わりません。むしろ、基本の徹底がこれまで以上に効きます」として、6つの優先順位を示しています^[1]。国家サイバー統括室が求める対策^[6]とも重なるので、両方をまとめて点検表にしました。

経営層への報告では、「自社が19組織に含まれているかどうか」より、「同じ入口が自社にあるかどうか」を軸に据えるのが実務的です。トレンドマイクロは被害組織を名指ししておらず、IOC（侵害指標。攻撃元のIPアドレスやドメインなど）も法執行機関にのみ提供するとしているため^[1]、自社が標的だったかを外部情報だけで確定することはできません。一方、入口になった弱点の種類は明確なので、自社の公開資産にそれが無いことを確認する作業は今週から始められます。

「攻撃者と同じ手順で先に試す」はなぜ有効なのか？

事例Aで悪用されたCyberStrikeAIは、開発者自身が「許可されたセキュリティ業務（authorized security operations）」のための「専門的なセキュリティテスト基盤」と位置づけ、所有するか明示的に許可を得たシステムにだけ使うよう求めている、オープンソース（Apache-2.0）のツールです^[10]。つまり攻撃者は、守る側が診断に使うのと同じ種類の道具を、許可なく手当たり次第に向けていたことになります。守る側が同じ視点で、ただし書面で合意した範囲とルールのもとで自社を先に試せば、攻撃者より先に「鍵のかかっていない扉」を見つけられます。

具体的には、2つの取り組みが対応します。1つは、経済産業省がガイダンスで整理しているASM（Attack Surface Management）です。ASMは「組織の外部（インターネット）からアクセス可能なIT資産を発見し、それらに存在する脆弱性などのリスクを継続的に検出・評価する一連のプロセス」で、組織管理者が把握していない機器や意図しない設定ミスを攻撃者の視点で発見できるとされています^[12]。もう1つは、見つかった資産に対する脆弱性診断とペネトレーションテストです。脆弱性診断は既知の弱点を網羅的に洗い出すもの、ペネトレーションテストは実際に侵入できるかを攻撃者の手順で検証するもので、今回の3事例の入口（認証のない管理画面、初期設定の認証情報、設定ファイル内の認証情報、公開済み脆弱性のある境界装置）はどちらでも発見の対象になり得ます。

国家サイバー統括室も、公開システムは「いつ攻撃を受けてもおかしくない」前提で、定期的な脆弱性診断などを実施するよう求めています^[6]。トレンドマイクロは、重大な脆弱性の公表から悪用までの時間が今後さらに短くなりうるとして、パッチ適用の速さと、適用までの時間を埋める仮想パッチの価値が高まっているとも指摘しています^[1]。診断で見つけた弱点を「直すまでの間どう守るか」まで含めて計画することが重要です。攻撃の手口の全体像はハッキング・AI詐欺の手口とは、よくある質問はFAQにもまとめています。

まとめ

トレンドマイクロが2026年10月23日に公開した報告は、日本を狙う攻撃にAIが使われていることを攻撃者側の記録から確認した一方で、AIの関わり方には幅があり、侵入口は昔から知られた弱点だったことを明らかにしました^[1]。44のエージェントが分業して19組織以上を検証した事例Aでも、深く侵入できたのはごく一部で、その入口は認証のない公開管理画面でした。事例Bの入口は初期設定の認証情報のままのGISサーバー、事例Cの入口はVPN機器の設定ファイルに残った認証情報です^[1]。

JPCERT/CCはAIを用いたペネトレーションテスト基盤を悪用した攻撃試行を注意喚起に加え^[3]、国家サイバー統括室は「いつ攻撃を受けてもおかしくない」前提での対策と定期的な脆弱性診断を求めています^[6]。警察庁の統計では、脆弱性探索などの不審なアクセスが前年比50.7%増と急増しています^[11]。攻撃者がペネトレーションテスト用のツールで手当たり次第に試しているのなら、守る側は同じ視点で自社の公開資産を棚卸しし、初期パスワードと管理画面の露出を確かめ、許可を得た診断で先に弱点を見つけて直すことが、最も確実な備えになります。

関連記事：生成AIを使ったAPT攻撃の全体像はAPT攻撃とは｜生成AIで変わる国家支援型攻撃の手口、公開アプリの解析からサーバーを狙うA2B攻撃はA2B攻撃とはで解説しています。