---
title: "AIを使ったサイバー攻撃と、会社の備え｜アメリア・テクノロジー株式会社"
url: https://www.ameliatechnology.co.jp/blog/ai-era-cyber-attacks/
description: "AIの悪用で、なりすましのメールや偽の音声・動画、攻撃の下準備が手軽になりつつあります。IPAの「情報セキュリティ10大脅威 2026」などをもとに、手口の変化と、多要素認証・送金の確認・パッチ・棚卸し・訓練による備えを整理します。"
updated: 2026-10-23
publisher: "アメリア・テクノロジー株式会社"
---
# AIを使ったサイバー攻撃と、会社の備え

AIの悪用で、なりすましのメールや偽の音声・動画、攻撃の下準備が手軽になりつつあります。IPAの「情報セキュリティ10大脅威 2026」などをもとに、手口の変化と、多要素認証・送金の確認・パッチ・棚卸し・訓練による備えを整理します。

2026.10.23 [AI・ITの動向](https://www.ameliatechnology.co.jp/blog/category/trends/)

執筆 [石田誠](https://www.ameliatechnology.co.jp/blog/author/ishida/)（グループCTO）

## この記事の要点

- IPAの「情報セキュリティ10大脅威 2026」の組織向けでは、「AIの利用をめぐるサイバーリスク」が3位に入り、AIの悪用による攻撃の容易化と手口の巧妙化が挙げられています。
- 文面や声がもっともらしいかどうかでは見分けにくくなるため、送金や権限の変更は、依頼とは別の連絡の手段で確かめる手順にしておきます。
- 多要素認証、パッチの当て方の順番、資産の棚卸し、社員の訓練という基本の対策を、AIによる手口の変化を前提に見直します。

AIを使ったサイバー攻撃への備えは、新しい道具を買い足すことよりも、基本の対策と社内の確認の手順を、手口の変化に合わせて見直すことが中心になります。AIによって、だましの文面や声はもっともらしくなり、攻撃の下準備にかかる手間も減ると考えられるため、「見た目で見分ける」ことに頼らない仕組みが要ります。

## 公的な機関は、どう見ているか

IPA（独立行政法人情報処理推進機構）が2026年1月29日に発表した「情報セキュリティ10大脅威 2026」の組織向けでは、「AIの利用をめぐるサイバーリスク」が3位に入りました。この脅威が選ばれたのは2026年版が初めてです。IPAは、想定される問題の一つとして「AIの悪用によるサイバー攻撃の容易化、手口の巧妙化」を挙げています。

同じ組織向けの一覧には、1位の「ランサム攻撃による被害」、4位の「システムの脆弱性を悪用した攻撃」、10位の「ビジネスメール詐欺」も並んでいます。AIはこれらの従来の攻撃を置き換えるというより、その準備や実行を手軽にする方向で使われると考えておくと、備えの的を絞りやすくなります。

出典：[情報セキュリティ10大脅威 2026（IPA）](https://www.ipa.go.jp/security/10threats/10threats2026.html)／[プレス発表「情報セキュリティ10大脅威 2026」を決定（IPA、2026年1月29日）](https://www.ipa.go.jp/pressrelease/2025/press20260129.html)

## 手口は、どう変わりつつあるか

AIの悪用で手口が変わりやすいのは、次の4つの場面です。いずれも、昔からある攻撃の手間を減らし、見分けにくくする方向の変化です。

### なりすましのメール

生成AIを使うと、自然な日本語の文面を短い時間で大量に作れます。取引先や経営者を装って振込先の変更を求めるビジネスメール詐欺や、ログインの画面に誘い込む[フィッシング](https://www.ameliatechnology.co.jp/glossary/phishing/)では、以前は不自然な言い回しが見分ける手がかりになることがありました。文面の自然さは、これからは手がかりになりにくいと考えておきます。

### 偽の音声や動画

AIで作った音声や動画を使い、経営者や上司を装って電話やオンライン会議で指示を出す手口も考えられます。声や顔に見覚えがあることは、本人であることの確かめにはなりません。

### 攻撃の準備の自動化

攻撃の相手を調べる、だましの文面を相手ごとに書き分ける、といった下準備は、AIによって手間が減ると考えられます。これまで手間がかかって狙われにくかった規模の会社も、対象に入りやすくなります。

### 脆弱性を探す作業の効率化

システムの弱点である[脆弱性](https://www.ameliatechnology.co.jp/glossary/vulnerability/)を探す作業や、公表された脆弱性を悪用する手順の検討にも、AIが使われ得ます。公表から悪用までの時間が短くなることを前提に、更新の手順を考えておきます。

## 送金と権限の変更は、別の手段で確かめる

もっともらしい依頼を見分けることが難しくなるほど、確かめる手順を仕組みにしておくことが大切になります。IPAは、ビジネスメール詐欺の対策として、電信送金に関する社内の規程を整え、振込先や決済の手段が急に変わった場合はメール以外の手段で取引先に確かめることを挙げています。

この考え方は、偽の音声や動画にもそのまま当てはまります。いつもと違う送金や振込先の変更、アカウントや権限の変更の依頼が届いたら、届いた手段（メール・電話・チャット・会議）とは別の、あらかじめ控えておいた連絡先で依頼した本人に確かめます。そのうえで、依頼を受けた人とは別の人が承認し、確かめた結果を記録に残します。急ぎを理由に手順を飛ばすよう求められたときこそ、手順どおりに進めると決めておきます。

いつもと違う依頼が届いたときの確かめ方

- **依頼が届く**：いつもと違う送金・振込先の変更、アカウントや権限の変更の依頼
- **本人に確かめる**：届いた手段（メール・電話・チャット・会議）とは別の、あらかじめ控えておいた連絡先で
- **承認する**：依頼を受けた人とは別の人が承認する
- **記録する**：確かめた結果を記録に残す

急ぎを理由に手順を飛ばすよう求められたときこそ、**手順どおりに進める**と決めておきます

出典：[ビジネスメール詐欺の対策について知る（IPA）](https://www.ipa.go.jp/security/bec/bec_measures.html)

## 基本の対策を、手口の変化に合わせて見直す

AIを使った攻撃でも、入り口の多くは、盗まれたパスワード、更新されていないシステム、だまされた社員です。次の4つの基本の対策を見直します。

### 多要素認証

メール、クラウドのサービス、管理の画面には、[多要素認証](https://www.ameliatechnology.co.jp/glossary/mfa/)を設定します。フィッシングでパスワードが盗まれても、それだけでは入られにくくなります。IPAも、ビジネスメール詐欺の対策の一つに、メールのシステムでの多要素認証やアクセスの制限の検討を挙げています。

### パッチの当て方の順番

すべての更新を同時に当てることは難しいため、順番を決めておきます。インターネットから直接届く機器やサービス（VPNの装置、Webサーバー、メールのサーバーなど）、悪用が確認されている脆弱性、重要な情報を扱うシステムを先にします。[セキュリティパッチ](https://www.ameliatechnology.co.jp/glossary/security-patch/)の情報を誰が確かめ、誰が当てる判断をするかも決めておきます。

### 資産の棚卸し

自社が持っている機器、使っているクラウドのサービス、公開しているWebサイト、委託先が動かしているシステムの一覧がなければ、更新の漏れに気づけません。使っていないアカウントやサービスも、入り口になり得ます。一覧を作り、定期的に見直します。アカウントの見直しの進め方は[アクセス権の棚卸しと特権IDの管理の進め方](https://www.ameliatechnology.co.jp/blog/access-review-privileged-id/)で扱っています。

### 社員の訓練

訓練の目的は、だましを見抜けるようにすることよりも、怪しいと思ったときに手順どおりに確かめ、すぐに報告できるようにすることに置きます。偽の音声や動画の例を見てもらい、送金や権限の変更の確認の手順を実際になぞる形にすると、手順が身につきやすくなります。報告した人を責めない雰囲気も、早く気づくための条件です。

## 自社でもAIを使う場合

自社でAIを使う場合は、AIを使った攻撃への備えとは別に、自社のAIの使い方そのもののリスクにも備えます。総務省と経済産業省の「AI事業者ガイドライン」（2026年10月時点の最新は第1.2版・2026年3月31日）は、AIを開発・提供・利用する事業者が取り組む事項をまとめた指針で、自社の使い方を点検するときの手がかりになります。業務で生成AIを使うときのリスクは[生成AIのセキュリティ：情報漏えいとプロンプトインジェクション](https://www.ameliatechnology.co.jp/blog/genai-security/)で取り上げています。

出典：[AI事業者ガイドライン（総務省）](https://www.soumu.go.jp/main_sosiki/kenkyu/ai_network/02ryutsu20_04000019.html)

どの対策も、攻撃を確実に止めるものではありません。被害を小さくし、早く気づき、元に戻せるように、何重かに備えることが基本の考え方です。

## 当社のご支援

アメリア・テクノロジーの[セキュリティ診断と対策](https://www.ameliatechnology.co.jp/service/security/)では、システムの脆弱性診断から、多要素認証やパッチの運用などの対策の実装、送金の確認の手順や社員の訓練を含む社内の規程づくりまでをご支援しています。まずは、自社の状況をおおまかに確かめたい場合は、無料の[セキュリティの自己診断](https://www.ameliatechnology.co.jp/diagnosis/security/)をお使いください。

- サイバー攻撃
- 生成AI
- ビジネスメール詐欺
- セキュリティ

## この記事に出てくる用語

- [情報セキュリティ](https://www.ameliatechnology.co.jp/glossary/information-security/)
- [脆弱性](https://www.ameliatechnology.co.jp/glossary/vulnerability/)
- [ビジネスメール詐欺（BEC）](https://www.ameliatechnology.co.jp/glossary/bec/)
- [生成AI](https://www.ameliatechnology.co.jp/glossary/generative-ai/)
- [フィッシング](https://www.ameliatechnology.co.jp/glossary/phishing/)
- [ディープフェイク](https://www.ameliatechnology.co.jp/glossary/deepfake/)
- [多要素認証（MFA）](https://www.ameliatechnology.co.jp/glossary/mfa/)
- [クラウド](https://www.ameliatechnology.co.jp/glossary/cloud/)

## 関連する法令・指針（参考情報）

- 指針
   総務省・経済産業省「AI事業者ガイドライン」（第1.2版（2026年3月31日））
   AIを安全・安心に活用するため、AIの開発・提供・利用に関わる事業者が取り組む事項をまとめた指針です。事業者を「AI開発者」「AI提供者」「AI利用者」に分けて示しています。拘束力のない文書で、状況の変化に応じて更新されています。
   [発行元の公式ページで開く](https://www.soumu.go.jp/main_sosiki/kenkyu/ai_network/02ryutsu20_04000019.html)
- 指針
   経済産業省・独立行政法人情報処理推進機構（IPA）「サイバーセキュリティ経営ガイドライン」（Ver 3.0（2023年3月））
   大企業と中小企業（小規模事業者を除く）の経営者を対象に、経営者が認識する必要がある3原則と、担当の幹部（CISO など）に指示すべき重要10項目をまとめたガイドラインです。
   [発行元の公式ページで開く](https://www.meti.go.jp/policy/netsecurity/downloadfiles/guide_v3.0.pdf)
- 指針
   独立行政法人情報処理推進機構（IPA）「中小企業の情報セキュリティ対策ガイドライン」（第4.0版（2026年3月））
   中小企業の経営者と実務の担当者が、情報セキュリティ対策を進めるための手順と考え方をまとめたガイドラインです。付録に、自社の状況を確かめる「5分でできる！情報セキュリティ自社診断」などがあります。
   [発行元の公式ページで開く](https://www.ipa.go.jp/security/guide/sme/about.html)

法令は2026年10月21日時点の内容です。要旨は当社がまとめたもので、条文・判決・指針の全文ではありません。個別の事案への当てはめは、弁護士・社会保険労務士などの専門家にご確認ください。表記の決まりは[法令・指針の参考情報と凡例](https://www.ameliatechnology.co.jp/knowledge/legal/)をご覧ください。

この記事を書いた人

[石田誠](https://www.ameliatechnology.co.jp/blog/author/ishida/) グループCTO

インターネットの黎明期から、ホスティング事業の立ち上げや、インフラ・セキュリティのプロジェクトに携わってきました。現在は、AWS・Azure へのクラウド移行の支援と、業務アプリケーションの要件定義から実装までを担っています。

このコラムは一般的な情報の提供を目的としたもので、個別の状況への助言ではありません。製品・サービスの名前と内容は、記事の更新日の時点のものです。

## あわせて読みたい

- [日本のAIに関する法律とガイドラインの要点](https://www.ameliatechnology.co.jp/blog/japan-ai-law-guidelines/)
- [国内の生成AI活用の動き：2026年の公式発表から](https://www.ameliatechnology.co.jp/blog/genai-cases-2026/)
- [製造・物流・小売のAI活用：2025〜2026年の公式発表から](https://www.ameliatechnology.co.jp/blog/ai-manufacturing-logistics-retail/)

[AI・ITの動向のコラムを見る](https://www.ameliatechnology.co.jp/blog/category/trends/) [コラムの一覧に戻る](https://www.ameliatechnology.co.jp/blog/)

## 次の一歩

### システムとAIの弱点を診断し、直す

Web・クラウド・ネットワークと生成AIを使ったシステムを、書面で合意した範囲で診断し、見つかった問題を直すところまで受け持ちます。

[セキュリティ診断と対策を見る](https://www.ameliatechnology.co.jp/service/security/)

### まずは30分、オンラインで話してみる

何に使うかが決まっていない段階でも構いません。30分のオンライン相談は無料です。

[無料で相談する](https://www.ameliatechnology.co.jp/contact/)

## ご関心に合わせて、お選びください。

[情報を集めている方へ会社案内、AI開発の例、セキュリティ診断の報告書の見本をお送りします。資料をダウンロード](https://www.ameliatechnology.co.jp/download/)[課題が見えている方へオンラインで30分、お話をうかがいます。費用はかかりません。無料で相談する](https://www.ameliatechnology.co.jp/contact/)[進め方を決めたい方へ2〜4週間で、優先順位と計画をまとめるAI活用の診断です。診断について見る](https://www.ameliatechnology.co.jp/pricing/#diagnosis)

---

出典：アメリア・テクノロジー株式会社「AIを使ったサイバー攻撃と、会社の備え｜アメリア・テクノロジー株式会社」 https://www.ameliatechnology.co.jp/blog/ai-era-cyber-attacks/