国内の連続不正アクセスでAI利用を確認、JPCERT/CCがAPI攻撃の調査結果を公表

JPCERT/CCは国内外のWebサービスへの攻撃を調査し、攻撃者がAIを使って既知の脆弱性を探したり、API経由の攻撃を行ったりしていたことを確認しました。「AIで自動ハッキング」という単純な話ではなく、攻撃の調査や試行を速める道具として使われている点が重要です。

出典

JPCERT/CCは2026年10月15日、国内の複数組織で相次いだ不正アクセス事案に関連する調査結果を公表しました。攻撃元サーバーなどを調べる中で、攻撃者がAIを利用し、既知の脆弱性のスキャンやAPI経由の攻撃を行っていたことを確認したとしています。

「AIが勝手に企業へ侵入した」という意味ではありません。むしろ、これまで人が時間をかけて行っていた調査や試行の一部をAIで効率化し、攻撃の回転を速くしている、と捉える方が実態に近いでしょう。

APIは、アプリやWebサービス同士が裏側で情報をやり取りするための「窓口」のようなものです。たとえばスマホアプリで会員情報を表示するとき、画面そのものがデータベースへ直接つながるのではなく、APIを通して必要な情報を受け取る構成がよく使われます。

普段の利用者にはAPIの存在がほとんど見えません。しかし、どんなAPIがあり、どんな条件で情報を返すのかが攻撃者に調べられ、認証やアクセス制御に弱い部分があれば、そこを狙われる可能性があります。

JPCERT/CCは今回の特徴として、Androidアプリの配布ファイルであるAPKを解析し、そこからAPIを特定して悪用する動きも確認したと説明しています。アプリの画面だけを守ればよいのではなく、その裏側の通信口まで含めて守る必要があるということです。

AIや自動化の利用で特に変わるのは、攻撃者が多数のサービスを調べるコストです。以前なら「わざわざ小さなサービスを調べるほどの価値がない」と見過ごされていた環境でも、自動的に候補を探せるなら攻撃対象に入る可能性があります。

これは、すべての企業が高度なAI防御製品を買わなければならない、という話ではありません。むしろ基本的な更新、不要な公開機能を閉じること、管理者アカウントを守ること、APIに適切な認証・権限制御を入れることなど、昔からある対策を放置しない重要性が上がっています。

自社でWebサービスやアプリを運用している場合は、まずインターネットから到達できる管理画面やAPIを洗い出します。「昔作ったけれど今は使っていないAPI」「検証用のまま残ったURL」「退職者の管理者アカウント」といったものがないかも確認したいところです。

外部の制作会社やSaaSに任せている場合でも、「どこまで更新を任せているのか」「不正アクセスが起きたとき誰へ連絡するのか」だけは社内で分かる状態にしておきましょう。

AIを使った攻撃という言葉は大きく見えますが、対策まで大げさに考える必要はありません。まずは、既知の弱点を修正し、使っていない入口を減らし、重要な入口には強い認証を使う。そこからです。

今回のJPCERT/CCの報告で注目したいのは、攻撃者がAIを使っていたことそのものより、調査やスキャン、APIへの試行を効率化していた点です。

守る側も「AI攻撃だから特殊な対策が必要」と身構えるだけではなく、更新されていないシステムや不用意に公開されたAPIを減らすことが先です。攻撃の速度が上がるほど、基本対策を後回しにする時間の余裕は小さくなります。