AI
システム嫌いの社長が相談に来た日 ― 2026年10月のサイバー攻撃多発と、中小企業のセキュリティ
システム嫌いの社長が相談に来た日 ― 2026年10月のサイバー攻撃多発と、中小企業のセキュリティ
2026年10月25日
予想外の相談
先日、ある経営者からセキュリティ対策の相談を受けた。
驚いたのは、その人が筋金入りの「システム否定派」だったことだ。
2026年10月のサイバー攻撃多発は、技術者の世界を飛び越えて、これまで無関心だった経営者の肌感覚にまで届いたらしい。
10月に何が起きたのか
国内では、9月下旬から不正アクセスと情報漏えいの公表が連日続いた。ある集計では、6月から10月23日までに公表された国内の事案は284件にのぼる。
公表日 | 組織 | 内容 |
|---|---|---|
10月15日 | ソースネクスト | APIを悪用され、最大約2,252万件の顧客情報が流出のおそれ |
10月13日 | ライドオンエクスプレス（銀のさら等） | 委託先のランサムウェア被害で最大約650万件、注文停止 |
10月9日 | ブックオフ | 最大約643万件の会員情報 |
10月7日 | IDCフロンティア | クラウドがランサムウェアで停止、495の企業・自治体に影響 |
10月5日 | 物語コーポレーション | 約1,079万件 |
10月5日 | 大阪公立大学 | ランサムウェアで約500台のサーバーが停止、バックアップも暗号化 |
9〜10月 | タイムズカー（パーク24） | 運転免許証画像を含む最大約660万件 |
海外でも10月19〜22日を中心に「Black October」と呼ばれる事態が起きた。PHPの重大な脆弱性「PHP2Shell」が公表され、パッチが出る前から攻撃が始まった。欧州では政府サイトが予防的に止められた。フランスでは、初期パスワードのままの冷蔵設備が乗っ取られ、最大700店舗のスーパーで商品が廃棄された。
これだけ続けば、ITに関心のない経営者でも不安になるのは当然だ。
「AIによる大規模攻撃」は本当か
ニュースやSNSでは「AIが仕掛けた大規模攻撃」という言い方が目立つ。半分は本当で、半分は誇張だ。
本当の部分から言うと、JPCERT/CCは、攻撃者がAIを使って既知の脆弱性のスキャンやAPIへの攻撃を行っていたことを確認している。本来はセキュリティ診断用のAIツールを悪用した攻撃も報告された。PHP2Shellも、AIを使った研究で見つかった脆弱性だ。
一方で、AIが一つの大きな作戦を指揮しているわけではない。「Black October」は、深刻な事案がたまたま同時期に重なったことを指す呼び名にすぎない。そして侵入できた原因の多くは、パッチを当てていない脆弱性、認証の甘いAPI、平文で置かれた鍵、初期パスワードのままの機器といった、昔ながらの穴だった。
AIがやったのは、穴を見つける速度とコストを劇的に下げたことだ。以前なら脆弱性の公表から攻撃まで数週間あった猶予が、今は数時間になった。穴があれば、規模に関係なく見つかる時代になったのである。
相談に来た社長の職場は、平成初期のまま
相談をくれた社長の会社は、相当なものだ。
セキュリティと呼べるのは、入り口と勝手口のドア、あとはファイルサーバくらい。顧客企業ごとの資料は物理的なボックスと棚で管理されている。PCのログインパスワードはPCに付箋で貼ってある。ログインさえ済めば、あとはどの情報も見放題、持ち出し放題。
平成初期の業務環境が、令和の今もそのまま動いている。
ただ、皮肉なことに、こういう職場は10月に騒がれた攻撃からは遠い。被害の中心は、スマホアプリのAPI、公開Webサービス、クラウドといった「ネットに出ているもの」だった。
紙と棚とファイルサーバの職場には、その入口がほとんどない。
では安全かといえば、まったく違う。リスクの場所が別にあるだけだ。
付箋のパスワードと見放題の環境による、内部からの持ち出しや来訪者の覗き見
メールの添付ファイルからウイルスが入り、ファイルサーバごと暗号化されるランサムウェア
預かっている顧客企業の資料が漏れたときの、取引先への責任
ニュースで騒いでいる攻撃と、自分の会社が本当に備えるべきことはズレている。多くの経営者は、その区別がつかないまま不安だけを抱えている。
変わるかどうかは、代表の意識次第
この社長の会社のような職場では、高価なシステムを入れても意味がない。
付箋文化の上に最新の防御を載せても、使う人が変わらなければ穴は塞がらない。
結局、最後は人のセキュリティリテラシーの問題であり、その出発点は代表者の意識変革しかない。代表が本気にならない限り、社員が付箋をはがすことはない。企業の環境が変わるかどうかは、代表の意識が変わるかどうかで決まる。
ただし、教育だけに頼るのも危うい。
人の注意力は消耗品で、研修をしても半年もすれば元に戻る。だから、教育で決めたことを忘れないための「小さな仕組み」を添える。レガシーな職場ほど、ほぼお金のかからない設定がよく効く。
付箋をやめ、パスワードを人ごとに分ける
離席したら自動で画面がロックされるようにする
ファイルサーバのフォルダに、担当者だけが見られるアクセス権を付ける
ネットから切り離したバックアップを取り、戻せるか試しておく
メールに多要素認証を設定し、Windows Updateを止めない
順番は「代表の意識変革 → 社内ルール → それを支える最小限の仕組み」。教育と仕組みは対立するものではなく、教育で決めたことを仕組みが支える関係だ。
これは大きな商機だ
システム否定派の経営者ですら不安を口にした。世の中小企業の経営者の大半が、同じ不安を抱えていると考えていい。
これは大きな商機である。ただし、売り方を間違えなければ、だ。
中小企業の経営者が求めているのは、高価なセキュリティ製品ではない。「うちは何をすればいいのか」を自分の言葉で教えてくれる人だ。今回の攻撃とうちの会社はどう関係するのか。何はやらなくてよいのか。不安を、その会社に合った具体的な行動に翻訳する役割は、大手ベンダーが手薄な部分でもある。
押さえておきたい点は三つある。
熱は長く続かない。 ニュースが落ち着けば、経営者の関心は数か月で冷める。動くなら今だ。
公的支援と組み合わせる。 IPAの「SECURITY ACTION」や「サイバーセキュリティお助け隊サービス」など、低価格の支援は既にある。競合と見るより、制度を案内しつつ、現場に入って付箋をはがすところまで付き合う伴走役になる方が強い。
不安をあおらない。 「今回の事件は、御社には関係ない部分も多いですよ」と正直に言えること。やらなくていいことを言える相手が、結局は一番信頼される。
おわりに
AIの時代になっても、守りの基本は変わらない。変わったのは、穴を放置できる時間が短くなったことだけだ。そして基本を徹底できるかどうかは、技術ではなく、代表者が本気になるかどうかにかかっている。
システム嫌いの社長が相談に来たあの日は、多くの中小企業にとって、意識が変わる入口なのかもしれない。その入口に立った経営者の隣で、一緒に付箋をはがす。そんな仕事に、今いちばん需要があると感じている。