2026年10月、高市早苗首相が、ウェブサイトなどで広く使われているプログラミング言語「PHP」の重大な脆弱性について、SNSで異例の注意喚起を行いました。修正プログラムを速やかに適用できるよう準備することを呼びかけ、対応が難しい場合にはウェブサイトの一時停止も選択肢として示したのです（※1、※2）。

首相自らが個別のソフトウェアの脆弱性について注意を促したことは、サイバーセキュリティが国を挙げて取り組むべき重要課題であることを印象づけました。

実際、2026年9月から10月にかけても、タイムズカーやGMOインターネットのサービスなどで不正アクセスが発覚しました。日本航空（JAL）でも、予約システムの委託先への不正アクセスにより、利用者の予約情報の一部が外部から参照された形跡があったと発表されています（※3）。

インターネットで買い物をする。車を予約する。仕事でパソコンを使う。私たちの日常は、さまざまなデジタルサービスに支えられています。企業やサービスへのサイバー攻撃は、個人情報の流出やサービスの停止など、私たちの暮らしにも影響を及ぼします。

さらに、生成AIの進化と普及によって、サイバー攻撃の手口が高度化し、攻撃を効率的に進められるようになることも懸念されています。企業や政府による対策は欠かせませんが、私たち自身も自分の情報を守るための備えが必要です。

 

 

相次ぐ日本企業へのサイバー攻撃

2026年9月から10月にかけて、国内の企業やサービスで不正アクセスが相次いで明らかになりました。

駐車場やカーシェアリング事業を展開するタイムズモビリティでは、カーシェアサービス「タイムズカー」のウェブシステムが不正アクセスを受けました。約663万件の個人情報と、運転免許証などの本人確認書類の画像約146万件について、外部に送信された痕跡が確認されたと発表しています（※4）。

GMOインターネットの「お名前.com デスクトップクラウド」でも、不正アクセスにより顧客情報が外部に持ち出されたことが確認されました。利用者からは、FX（外国為替証拠金取引）の口座で身に覚えのない取引があったとの報告も寄せられています。同社は、事件の解明や犯人の特定・検挙につながる情報を募るため、総額100万米ドル（約1億5,000万円）を上限とする懸賞金制度を設けました。また、攻撃者側のサイトや掲載情報を拡散しないよう呼びかけ、情報提供には専用窓口を利用するよう求めています（※5）。

さらに、JALは2026年10月28日、予約システムの委託先への不正アクセスにより、約9万2,000人分の予約情報の一部が外部から参照された形跡があったと発表しました。約2,000人分については、パスポート番号や国籍、連絡先なども参照された可能性があります。一方、クレジットカード番号やパスワードは漏えいしていないとしています（※3）。

このほかにも、小売業や鉄道、証券会社、クラウドサービスなど、さまざまな分野でサイバー攻撃への対応が課題となっています（※6）。

 

AIによって高度化するサイバー攻撃

サイバー攻撃の手口は、生成AIの普及によって変化しています。

生成AIを悪用すると、不自然な表現の少ない偽メールを作成したり、攻撃対象のシステムにある弱点を探す作業を効率化したりできる可能性があります。これにより、専門的な知識や多くの時間を必要としていた攻撃を、より少ない労力で進められることが懸念されています（※6）。

実際に、日本企業を狙った一連の不正アクセスの調査では、AIが弱点探しを自動で行うツールが攻撃に使われていたことが、セキュリティ会社によって確認されています（※7）。

ただし、最近発生したすべてのサイバー攻撃にAIが使われたと確認されているわけではありません。従来からあるソフトウェアの脆弱性や、パスワードの管理不備なども、攻撃のきっかけになります。

AIによる攻撃の高度化が懸念される一方、基本的なセキュリティ対策を着実に行うことも重要です。

 

自分の情報を守るためにできること

企業や政府による対策に加え、私たち自身も日常的にできることがあります。

 

1.パスワードを使い回さない

複数のサービスで同じパスワードを使っていると、一つのサービスから情報が漏れた場合、ほかのサービスにも不正にログインされるおそれがあります。サービスごとに異なるパスワードを設定しましょう。覚えきれない場合は、パスワード管理ツールの利用も選択肢です。

 

2.多要素認証を設定する

多要素認証は、パスワードに加えて、スマートフォンで受け取る確認コードなど、別の方法でも本人確認を行う仕組みです。パスワードが漏れた場合でも、不正ログインのリスクを抑えられます。対応しているサービスでは、積極的に設定しましょう。

 

3.OSやソフトウェアを最新の状態に保つ

パソコンやスマートフォンのOS、アプリ、ブラウザーなどは、更新プログラムが公開されたら適用しましょう。古いソフトウェアに残る脆弱性が、攻撃に悪用されることがあります。ウェブサイトを運営している場合は、利用しているソフトウェアやシステムの更新状況も確認する必要があります。

 

4.不審なメールやリンクを開かない

実在する企業やサービスを装い、偽のウェブサイトに誘導してパスワードや個人情報を盗み取ろうとする手口があります。メールやメッセージに不自然な点がある場合は、記載されたリンクを安易に開かず、公式サイトや公式アプリから情報を確認しましょう。

 

5.漏えい情報や不審なサイトを拡散しない

企業へのサイバー攻撃では、盗み出されたとされる情報がインターネット上に公開されることがあります。興味本位で公開サイトにアクセスしたり、掲載された情報やURLをSNSなどで拡散したりすると、被害の拡大につながるおそれがあります。

GMOインターネットグループも、攻撃者側のサイトや掲載内容を拡散しないよう呼びかけています。不審な情報を見つけても、転載やリンクの共有は避けましょう（※5）。

 

6.利用しているサービスの公式発表を確認する

不正アクセスが発生した場合、企業は公式サイトなどを通じて、影響を受ける可能性のある利用者や必要な対応を案内します。利用しているサービスから注意喚起が出ていないか、定期的に確認することも大切です。

身に覚えのないログイン通知や取引、怪しいメールなどに気づいた場合は、サービスの公式窓口に連絡し、パスワードの変更など必要な対応を取りましょう。

 

企業や政府にも対策が求められる

個人の対策だけで、サイバー攻撃を完全に防ぐことはできません。企業には、ソフトウェアの脆弱性を修正することに加え、不正アクセスを防ぐ仕組みの導入や、異常を早期に検知する体制づくりが求められます。

被害が発生した場合には、影響範囲を速やかに調査し、利用者に必要な情報を伝えることも重要です。個人情報を必要以上に保管しないことや、委託先を含めてセキュリティ対策を確認することも、被害の予防や拡大防止につながります。

政府にも、企業や関係機関との連携を通じて、サイバー攻撃への対応力を高めることが求められています。今回のPHPの脆弱性に関する首相の注意喚起も、ソフトウェアの弱点を放置するリスクと、迅速な対応の重要性を示すものです。

デジタルサービスが社会のさまざまな場面で使われる今、サイバーセキュリティは企業や専門家だけの問題ではありません。企業や政府による対策と、私たち一人ひとりの日常的な備えを組み合わせることが、自分の情報と暮らしを守ることにつながります。

 

SDGsとの関係

サイバーセキュリティの確保は、デジタル技術を安心して利用できる社会の基盤にも関わります。

目標9「産業と技術革新の基盤をつくろう」
安全で信頼できる情報通信技術の基盤を整えることは、デジタル技術を活用した産業や社会の発展を支えます。

目標16「平和と公正をすべての人に」
サイバー犯罪への対策や、個人情報を適切に保護する取り組みは、安心して暮らせる社会や信頼できる制度づくりに関係しています。

 

参考・引用

（※1）情報処理推進機構（IPA）「PHPの脆弱性対策について（CVE-2026-109618、CVE-2026-109619：PHP2shell）」（2026年10月22日）
https://www.ipa.go.jp/security/security-alert/2026/alert20261022.html

（※2）ITmedia NEWS「高市総理『大至急、PHPパッチ適用を』Xで異例の要請　エンジニアは評価『経営層に伝わる』」（2026年10月22日）
https://www.itmedia.co.jp/news/article/2610/22/2000002483/

（※3）日本航空「Amadeus社が提供する旅客サービスシステムへの不正アクセスについて」（2026年10月28日）
https://www.jal.co.jp/ja-jp/news/general/2026/other/261028.html

（※4）タイムズモビリティ「『タイムズカーWebシステム』への不正アクセスによる個人情報漏えいに関するご報告と今後の対応について（第5報）」（2026年10月23日）
https://share.timescar.jp/news/2026/1023/1825.html

（※5）GMOインターネットグループ「【重要】お名前.com デスクトップクラウドサービスに対するサイバー攻撃について（第4報）」（2026年10月24日）
https://group.gmo/info/alert/20261024/

GMOインターネット「【重要】『お名前.com デスクトップクラウド』への不正アクセスに関する現在の対応について（第11報）」（2026年10月27日）
https://internet.gmo/news/article/257

GMOインターネット「【重要】『お名前.com デスクトップクラウド』への不正アクセスに関する現在の対応について（第14報）」（2026年10月28日）
https://internet.gmo/news/article/260/

（※6）TBS CROSS DIG with Bloomberg「日本企業への不正アクセス相次ぐ、AIでコスト下がるサイバー攻撃」（2026年10月9日）
https://newsdig.tbs.co.jp/articles/withbloomberg/3001817?display=1

（※7）マイナビニュース「日本企業へのサイバー攻撃に中国発AIツール『ARTEX』悪用、標的は約20社」（2026年10月22日）
https://news.mynavi.jp/techplus/article/20261022-5172831/