AIを使うサイバー攻撃で警戒すべきなのは、侵入の速さに加え、盗まれた情報が短時間で詐欺の材料へ変わることです。
メールの山から支払い担当者や取引の経緯を読み取り、「誰になりすませば通用するか」を判断する作業にもAIが使われています。
一方、「AIが脆弱性を発見した」という研究成果と、犯罪者が実際に侵入した事件は分けて読む必要があります。
本記事では、2026年10月19日までに確認できた公式調査を軸に、道具、犯行の流れ、費用と利益の違い、対策を整理します。
不正利用を再現するコマンドや犯罪サービスへのアクセス先は掲載しません。
生成AIには、文書やコードを読み、内容を整理する能力があります。
これを犯罪に転用すると、標的に関する公開情報の整理、プログラムの作成補助、盗んだ資料の分類などに利用できます。
さらに、AIにブラウザや実行環境を接続した「エージェント」は、提案した作業を実行し、その結果を読み取る構成を取れます。
ただし、実行できる範囲は接続先や与えられた権限に左右されます。
Anthropicの2026年9月の脅威報告は、国家関与が疑われる活動、金銭目的の犯罪者、政治的動機を持つ個人による悪用を報告しました。
対象期間は2025年12月〜2026年8月で、犯罪全体の統計ではありません。
同社が観測した事例であり、攻撃者の特定やAIによる能力向上の評価には調査側の判断が含まれます。
AWSは2026年2月20日、複数の商用生成AIを利用した攻撃者が、同年1月11日〜2月18日に55カ国超の600台超のFortiGate機器へ侵入したと報告しました。
入口として観測されたのは製品の脆弱性悪用ではなく、インターネットに公開された管理画面、弱い認証情報、単一要素認証の組み合わせです。
この事例では、AIによる支援があっても防御の強い環境への試行には失敗が見られました。
ここから読み取れるのは、AIがあらゆる防御を突破するという結論ではなく、放置された弱点を広い範囲で探される危険です。
被害台数を企業数やランサムウェア感染件数に読み替えることもできません。
使われる道具には、正規のサービスを悪用するものと、犯罪目的で提供されるものがあります。
入手経路を知る際も、通常の利用と不正な転売・窃取を区別しなければなりません。
以下の共通CSSは、最初のHTMLの直前に一度だけ設置します。
Strixは開発元の公開リポジトリで、脆弱性の発見・修正を目的とするツールとして説明されています。
Appsmithの公式告知にも、Strixによる認可不備の発見が記載されています。
これは防御側の発見事例であり、Strixがその事件の犯罪者に使われたという意味ではありません。
一方、Microsoftが報告したEvilTokensは、侵入後のメールをAIで分析する機能を備えた犯罪サービスでした。
正規ツールと犯罪サービスの名前を同じ一覧に並べ、「どれも犯罪者専用」と説明すると実態を見誤ります。
AIの利用には、通常、アカウントやAPIキーと呼ばれる認証用の情報が必要です。
Anthropicの報告には盗まれたAPIキーを利用した活動も含まれます。
その場合、正規契約の利用料と、犯罪者本人が負担した費用は一致しません。
流通経路に触れる目的は、読者が犯罪サービスを購入するためではありません。
企業が公開コードや設定ファイルへ利用権限を置かないこと、利用量の急増を監視することが、攻撃用の資源を渡さない対策にもつながると理解するためです。
次の表は、複数の報告を基に整理した概念的な流れです。
すべての犯行が同じ順番で進むわけではなく、特定事件の完全な再現でもありません。
AIが入ると、これまで人間が資料を読んで判断していた部分を短縮できるため、侵入後の対応時間にも影響します。
防御側はログインの成否だけを見ず、ログイン後に何を読まれ、何を変更されたかまで追う必要があります。
これは上記の事例を踏まえた編集上の判断です。
デバイスコードフィッシングは、別の機器で始めたログインをブラウザで承認する正規機能を悪用します。
利用者は本物のサービス画面で認証を完了していても、実際には攻撃者側の接続を許可してしまいます。
例えば「業務上必要な確認」と思って操作したのに、許可していたのは自分が開始していない接続だった、という食い違いです。
偽ページのURLを見抜く訓練だけでは、この種類の攻撃を十分にカバーできません。
また、認証後のアクセスを支えるセッションやトークンが有効なままだと、パスワード変更だけで接続を終わらせられない場合があります。
被害対応では、サービスの管理機能を使ったセッション失効なども確認対象になります。
Webサービスでは、本人確認に成功しても、すべてのデータを操作してよいわけではありません。
自分の資料だけを扱える権限と、他人の資料を削除できる権限は別です。
Appsmithの告知は、この境界の確認が欠けた不備を示しています。
このため、認証を強化するだけでアプリの権限設計が完成するわけではありません。
企業がAI診断を取り入れる場合も、「ログインできるか」だけでなく、利用者ごと・操作ごとの許可を検証する必要があります。
Microsoftの2026年9月の調査では、EvilTokensの価格は初期購入1,500米ドル、継続利用は月額500米ドルと報告されました。
追加機能には別料金もありました。
これは調査時点の販売条件であり、現在購入できる価格の案内ではありません。
また、この金額を「ハッキング一件にかかる総額」と扱うこともできません。
AIの利用量、サーバー、通信、人の作業、失敗した試行など、何を含めるかによって費用は変わります。
今回確認した資料だけでは、犯罪全体の平均費用や成功率は算出できません。
収入についても、要求した身代金、実際の入金、共犯者への分配後の取り分は別です。
多額の被害報道があっても、それだけで「初心者が同じ額を稼げる」とは判断できません。
被害額と攻撃者の純利益を結びつける説明には注意が必要です。
金銭目的の実行者は、情報やアクセス権の売却、詐欺などから収入を得ようとします。
犯罪サービスの運営者は、利用者への販売や継続課金から収益を得る構造です。
サービスを作る側と、被害者へ直接接触する側が同一とは限りません。
国家関与が疑われる活動では、外交・軍事・産業情報の獲得が目的になる場合があります。
政治的動機を持つ個人なら、情報公開や組織への打撃を優先することもあります。
Anthropicの報告が示す主体の幅を踏まえると、「ハッカーの報酬はいくらか」という問いに金額だけで答えるのは不十分です。
ただし、言語や標的だけで国籍・所属を断定してはいけません。「ロシア語を使う」と「国家の指示を受けている」は異なる情報です。
調査会社が用いる追跡用の集団名も、法的に確定した組織名とは限りません。
AIを使ったサイバー犯罪者について、世界全体の犯行数と逮捕者数を対応させた信頼できる統計は、今回の調査では確認できませんでした。
したがって「逮捕確率は何％」とは書けません。
検挙件数を届出件数で単純に割っても、時期や事件の対応関係がそろわず、個人の逮捕確率にはなりません。
実際の捜査例はあります。
MicrosoftはEvilTokensへの対処で、英国警察が運営への関与を疑われる男性2人を逮捕したと公表しました。
逮捕は有罪判決を意味しませんが、サービス提供者も捜査対象になり得ることを示します。
法的責任はAIの有無ではなく、アクセスの権限や実行した行為などに基づいて判断されます。
警察庁も、他人の認証情報の悪用や不正な侵入を犯罪として説明しています。
「AIが操作した」「公開ツールを使った」という事情だけで適法になるわけではありません。
個別の適用法令や責任は行為・法域により異なります。
利用者は、送られてきた指示どおりに認証を進める前に、自分で始めた手続きか確認してください。
急な振込先変更や機密資料の送付依頼は、普段使っている連絡先から別の方法で確認します。
IPAも、ビジネスメール詐欺への対策としてメール以外の方法による確認を勧めています。
声や映像の見た目だけに依存する運用より、登録済みの連絡先への折り返し、複数人での承認など、手続きそのものに確認を組み込む方が判断を安定させられます。
これは対策としての提案であり、今回の事例すべてで音声合成が使われたという意味ではありません。
最初に点検すべきなのは、外部公開された管理画面、使われていないアカウント、不要な認証方式、更新が止まった機器です。
Microsoftは、デバイスコードフローを不要な環境でブロックし、必要な例外を限定する対策を示しています。
業務への影響を確認して適用する必要があります。
そのうえで、以下の項目を担当者と期限まで決めて点検します。
AIを防御に使う場合も、診断結果を無条件で正しいと扱うべきではありません。
対象外の環境へ接続しない制御、人による結果確認、停止できる仕組みが必要です。
侵入の調査と業務停止の判断を誰が行うか、経営側も含めて準備しておくと初動の迷いを減らせます。
ランサムウェア対策の基本事項はIPAの特設ページでも確認できます。
政策面では、捜査機関、AI提供者、通信・クラウド事業者、金融機関が、法令とプライバシー保護を踏まえて連携する仕組みが必要です。
犯罪用インフラの停止に加え、被害組織への通知、証拠保全、資金被害の拡大防止までつなげることが望まれます。
これは本記事の政策上の提案です。
中小企業への支援も、注意喚起を送るだけでは足りません。
管理画面の公開範囲や認証設定を見直せる支援、事故後に専門家へ相談できる窓口、復旧訓練への補助など、現場の作業へつながる施策が必要です。
AI提供者には、正規の研究・診断を可能にしながら悪用を検出する工夫が求められます。
Anthropicは2026年10月16日、会話をモデル自身が予備評価する悪用検出手法を公表しました。
ただし、提供者による監視だけを、企業側のアクセス管理の代わりにすることはできません。
自社や自分のアカウントを見直す際は、「侵入を防げるか」に加え、「侵入された場合に何を読まれ、誰への指示が通ってしまうか」を確認してください。
メール、文書、権限、送金手続きのつながりを点検することで、AIが悪用できる範囲を狭められます。
まずは管理画面の公開範囲、自分が始めていない認証への対応、振込先変更の確認方法の3点を担当者と確認するところから始めましょう。
新しい製品の導入より先に、今日変更できる設定と手続きを具体化できます。
.png){kind=logo}
