サイバー攻撃が2日→25分に｜生成AIの新脅威と対策

公開日:

SHARE

伊東雄歩
監修者 伊東 雄歩

株式会社ウォーカー CEO。東北大学卒。MENSA会員、JDLA認定講師、健全AI教育協会理事。生成AI×教育・学習科学を専門とし、2億円超のシステム開発プロジェクトを統括。

taolis.net X note Voicy YouTube
  • 生成AIによって「2日かかっていたサイバー攻撃」が「25分」に短縮されると警鐘が鳴らされました
  • パロアルトの調査部隊Unit 42は、AIを使えばランサムウェア攻撃を100倍速く実行できると実証しました
  • 攻撃の約9割は、パスワードやIDといった「本人確認の情報」が狙われています
  • ディープフェイクや超精密なニセメールなど、人をだます手口が急激に賢くなっています
  • 多要素認証やバックアップなど、今日から始められる守り方と日本の補助金制度も紹介します

「うちは小さな会社だから狙われない」。そう思っていませんか。

実は今、生成AIの登場でサイバー攻撃のスピードが桁違いに速くなっています。これまで2日かかっていた攻撃が、わずか25分で終わる時代です。この記事を読めば、何が変わったのか、そして自分や会社をどう守ればいいのかがわかります。

何が起きた？「2日かかる攻撃が25分に」

2026年7月14日、ソフトバンクの法人向けイベント「SoftBank World 2026」で、衝撃的な発表がありました。

登壇したのは、セキュリティ大手パロアルトネットワークスのチーフ・サイバーセキュリティ・ストラテジスト、染谷征良（そめや まさよし）さんです。

染谷さんはこう警告しました。「これまで人の手で2日かかっていた攻撃が、生成AIを使うと25分でできてしまう」。

生成AIとは、文章やプログラムを人間のように自動で作れるAIのことです。この便利な技術が、攻撃する側にも強力な武器を与えてしまったのです。

これは遠い海外の話ではありません。攻撃のコストが下がったことで、これまで狙われにくかった中小企業や個人も、標的になりやすくなっています。

なぜ生成AIで攻撃は爆速化するのか

では、なぜAIを使うとこんなに攻撃が速くなるのでしょうか。

理由は、攻撃の「全工程」をAIが肩代わりできるようになったからです。

サイバー攻撃には、いくつもの手順があります。相手を調べる、侵入口を探す、だますメールを書く、内部で情報を盗む。これまでは、この一つひとつを攻撃者が手作業でこなしていました。

ところがAIは、これらを一気に、しかも24時間休みなく自動でこなします。

たとえば、あなたのSNSやニュース記事をAIが数秒で読み込み、あなたの役職や人間関係にぴったり合った「本物そっくりのニセメール」を作れます。これをハイパーパーソナライズ攻撃と呼びます。

専門知識がない攻撃者でも、AIに指示するだけで高度な攻撃ができてしまう。これが「爆速化」の正体です。

Unit 42の調査が示す衝撃の数字

この警告の裏には、しっかりとしたデータがあります。

パロアルトには「Unit 42（ユニット42）」という、世界中のサイバー事件に対応する専門チームがあります。年間1000件以上の事件を支援している集団です。

Unit 42が2026年2月に公開した調査報告書には、こんな数字が並びます。

  • AIを使えば、侵入から情報を盗み出すまでを25分で実行できた（実験で確認、従来比で約100倍の速さ）
  • 実際の攻撃でも、最速のケースは初期侵入から情報流出まで72分。1年前と比べて4倍のスピード
  • 攻撃の速い上位25%は、わずか1.2時間で情報流出に到達（前年は4.8時間）
  • 攻撃の約9割が、パスワードやIDなどの「本人確認情報」を狙っていた
  • 侵害の87%が、複数の入り口をまたいで行われていた

スピードが上がると、守る側が気づいて対応する「時間の余裕」が消えます。これが一番怖いポイントです。

増えている新しい手口

AIは攻撃の「質」も変えています。特に警戒すべき手口を2つ紹介します。

ディープフェイクによるなりすまし

ディープフェイク（AIが作る本物そっくりの偽の音声や映像）を使ったなりすましが増えています。

実際に「Muddled Libra」という攻撃グループは、社員の声や顔をAIで再現しました。そして、社内のヘルプデスクに電話をかけ「パスワードを忘れた」とだまして、システムに侵入したのです。

見破れないニセメール

AIが作るフィッシングメール（本物を装って情報を盗むニセのメール）も、より巧妙になりました。

ある調査では、フィッシングメールの83%にAIが関わっているとされます。日本語の不自然さで見抜く、という従来の方法はもう通用しません。

従来のセキュリティ対策と何が違う？

「ウイルス対策ソフトを入れているから大丈夫」と思う方もいるでしょう。しかし、今の攻撃には従来の守り方だけでは不十分です。

違いを整理してみましょう。

  • スピード：従来は攻撃に数日かかり、その間に対処できました。今は数十分で終わり、人間の対応が間に合いません。
  • 入口：従来はウイルス対策で防げました。今はパスワードやIDを直接だまし取るため、ソフトだけでは守れません。
  • 見分け方：従来は「怪しい日本語」で気づけました。今はAIが自然な文章を書くため、見た目では判断できません。
  • 守る側の武器：これからはAI攻撃に対して、AIを使った自動検知で対抗する必要があります。

つまり、攻撃がAIで進化した以上、守りもアップデートが必要なのです。

日本の企業・個人への影響

この問題は、日本に住む私たちにも直結しています。

心配なのは、日本の準備の遅れです。生成AIの利用ルールや研修を整えている組織は、世界で22%なのに対し、日本ではわずか19%にとどまります。

ある中小企業の経理担当者を想像してみてください。取引先そっくりのメールが届き、指示どおり振込先を変更してしまう。AI時代には、こうした被害が誰の身にも起こりえます。

一方で、対策を後押しする制度も整ってきました。国の「デジタル化・AI導入補助金2026（セキュリティ対策推進枠）」では、対策サービスの費用が最大150万円まで補助されます。

東京都では「サイバーセキュリティ対策促進助成金」として、最大500万円の支援も用意されています。使わない手はありません。

今日からできる7つの守り方

難しく考える必要はありません。基本を固めるだけで、攻撃の多くは防げます。

今日から始められる守り方を7つ紹介します。

  • 多要素認証（MFA）を有効にする：パスワードに加え、スマホの確認などを組み合わせる方法。攻撃の9割がID狙いなので、ここが最重要です。
  • パスキーに移行する：パスワードそのものを使わない、より安全なログイン方法です。
  • パスワードマネージャーを使う：複雑なパスワードを安全に管理できる道具です。
  • OSやアプリを自動更新にする：古いソフトの弱点は、攻撃の格好の的になります。
  • 電話やメールの指示に「合言葉」を決める：ディープフェイク対策として、本人確認の合図を家族や社内で共有します。
  • 定期的にバックアップを取る：データを消されても復旧できるよう、別の場所に控えを残します。
  • ゼロトラストの考え方を取り入れる：「誰も無条件には信用せず、毎回確認する」という守りの基本方針です。

よくある質問（FAQ）

Q. 「25分」という数字は、どんな攻撃のことですか？

A. パソコンに侵入してから、大事なデータを盗み出すまでの時間です。Unit 42がAIを使って実験したところ、この一連の流れを25分で実行できました。従来の約100倍の速さです。

Q. 個人でも狙われるのでしょうか？

A. はい。AIで攻撃コストが下がったため、個人や中小企業も標的になりやすくなりました。特にSNSの情報から作られるニセメールに注意が必要です。

Q. まず何から始めればいいですか？

A. 多要素認証（MFA）の設定がおすすめです。攻撃の約9割はID狙いのため、ここを固めるだけで大きな効果があります。

Q. AIは攻撃だけでなく、守りにも使えますか？

A. 使えます。むしろ、これからはAIによる攻撃に対して、AIを使った自動検知や監視で対抗することが主流になっていきます。

まとめ

この記事の要点を振り返ります。

  • 生成AIで、2日かかったサイバー攻撃が25分に高速化すると警告された
  • Unit 42の実験では、AI攻撃は従来の約100倍の速さを記録した
  • 攻撃の約9割はパスワードやIDを狙っており、ディープフェイクも増加中
  • 従来のウイルス対策だけでは不十分。守り方のアップデートが必要
  • 日本の対策は遅れ気味だが、最大500万円の補助金など支援制度もある

まずは今日、あなたのアカウントで多要素認証をオンにすることから始めてみましょう。

参考文献

前の記事

FLUX 3とは？画像・動画・音声を1つで生成