AI・DX採用-engine採用／AI・DX

【AIで"2週間→10時間"に】守りの第一歩は、実は"ワンクリック"だった《部長/MDコラム》

2026.10.16

【AIで"2週間→10時間"に】守りの第一歩は、実は"ワンクリック"だった《部長/MDコラム》

株式会社船井総研ヒューマンキャピタルコンサルティング

DX部　マネージング・ディレクター

こんにちは。船井総研HCCの堤です。

2026年10月上旬、セキュリティのニュースが途切れませんでした。

・10月5日、「焼肉きんぐ」公式アプリの会員管理システムに不正アクセスがあり、1,078万8,963件の会員情報が対象に
・佐川急便とヤマト運輸で、相次いで不正アクセスが判明
・10月4日、日本経済新聞社で業務用ソフトのアカウントが攻撃を受け、社員になりすましたメール約9,000件が送信
・10月1日、Microsoft公式のXアカウントまで乗っ取られ、暗号資産詐欺に悪用
・10月1日、一定のインフラ事業者に新たな義務を課す「サイバー対処能力強化法」が施行

そして見逃せないのが、韓国のニュースです。銀行6行が攻撃を受けて4行で情報が流出し、攻撃拠点とみられるサーバーからAIエージェントの痕跡が見つかったとされています。金融当局は「AIの活用を排除できない」として、全金融機関の緊急点検を指示したと報じられています。

■ AIで、攻撃は「2週間」から「10時間」へ

Palo Alto Networksが公表した事例では、通常は人間による作業で約2週間を要するとされる攻撃活動が、AIエージェントの利用によって10時間未満で進行したと報告されています。

注目すべきは、新しいゼロデイや特別に高度な手口は使われていない点です。Googleの脅威分析チームも、クラウド資源の乗っ取りから認証情報の収集作戦の実行までが6時間未満だった例を報告しています。

つまりAIは、特別な技術を生み出したというより、「よくある手口」を圧倒的に速く回せるようにしたのです。

出典：Palo Alto Networks Unit 42（2026年9月2日）
https://unit42.paloaltonetworks.com/ai-assisted-cyber-attack-inside-a-unit-42-investigation/
出典：Google Threat Intelligence Group（2026年9月8日）
https://cloud.google.com/blog/topics/threat-intelligence/from-prompting-to-autonomy-the-evolution-of-adversarial-ai

■ だからこそ、守りは「基本」で差がつく

ここに朗報があります。手口が「よくあるもの」なら、守りも「基本」で大きく変えられます。

警察庁の2026年上半期のまとめでは、ランサムウェアの侵入経路はVPN機器が約5割、被害組織は中小企業が約6割、復旧に総額1,000万円以上を要した組織が6割でした。

ライデン大学とデルフト工科大学の研究チームも、クラウドストレージの調査から、データ漏えいの多くはサイバー犯罪者ではなく、設定ミスや管理不足といった人的要因で起きていると結論づけています。

出典：警察庁「令和8年上半期におけるサイバー空間をめぐる脅威の情勢等について」
https://www.npa.go.jp/publications/statistics/cybersecurity/data/R8kami/R08_kami_cyber_jousei.pdf
出典：Leiden University / TU Delft（2024年12月）

■ 人事・採用のデータも、狙われている

人事に関わる皆様にとって、他人事ではない事例も続いています。

・9月、採用管理サービス「ApplyNow」で、利用しているデータ分析ツールの脆弱性を突かれ、応募者と企業担当者の情報が対象に
・10月2日、第一生命が従業員向け人事システムへの不正アクセスを公表（従業員・退職者約12万名）
・ある自治体の委託先では、社員が個人で使うChatGPTへ、要配慮個人情報を含む対象者データ19,996件をアップロード

外からの攻撃だけでなく、「社員のAIの使い方」も入口になる時代です。