最近、日本企業への不正アクセスや個人情報の漏えいが相次いで公表されています。「なぜこんなに急増しているのか」「日本は世界で一番セキュリティが甘いのか」「デジタル庁は何もしていないのか」といった疑問を持つ方も多いでしょう。
いいえ、日本は「世界で最もザル」というわけではありません。ただし、2026年に入ってから（特に9月以降）国内の不正アクセス・個人情報漏えいの公表が急増しているのは事実で、世界平均を上回るペースで攻撃を受けている側面があります。理由と政府・デジタル庁の動きを整理します。
なぜ最近、日本への不正アクセスが急増しているのか
主な要因は以下の通りです。専門家やセキュリティ企業の分析で繰り返し指摘されています。
1. AIの悪用による攻撃の高速化・低コスト化
生成AIを使って脆弱性を自動探索したり、攻撃コードを生成したりする事例が増えています。人間が手作業でやっていた作業が大幅に効率化され、「にわかハッカー」でも大規模な攻撃が可能になったとされます。経済同友会やセキュリティ企業の調査では、AIを活用した攻撃が前年比で大幅増（例：56%増などの数字）と報告されています。結果として、攻撃の「量」と「速度」が上がり、日本企業のWebアプリや会員管理システムが次々と狙われやすくなっています。
2. 日本が「未開拓地」として相対的に狙われやすくなった
これまでサイバー攻撃は英語圏中心でした。日本語の壁や文化的な要因で日本は相対的に狙われにくい側面がありました。しかしAIの登場で言語の壁が薄れ、攻撃コストが下がったことで「まだ十分に攻撃されていない市場」として日本に矛先が向いています。ハッカー集団側からも「日本のセキュリティは甘い」との指摘が出るなど、攻撃者目線でも魅力的なターゲットになっているとの見方があります。
3. 日本企業側の構造的な弱点
・DX（デジタルトランスフォーメーション）の進展で、会員アプリ・Webサービス・SaaS連携が増え、攻撃対象の「入り口」が爆発的に増加。
・VPN機器などのリモートアクセス機器の脆弱性放置、パッチ未適用、弱い認証（多要素認証の不徹底）が依然多い。
・委託先・共通プラットフォーム経由の被害が波及しやすい構造。
・個人情報を大量に蓄積するサービスが多い一方で、不要データの削除や暗号化が不十分なケースがある。
4. 世界全体でも攻撃は増えているが、日本の伸びが目立つ
世界的にもランサムウェアや不正アクセスは増加傾向です。ただ、日本向けのランサムウェア犯行声明は世界平均を上回る伸び（例：日本+39% vs 世界+25%など）を示しており、攻撃グループの数も急増しています。公表件数で見ると、2026年1〜9月で企業・自治体の不正アクセス関連公表がすでに前年通年を超えるペースです。
「日本だけが特別にザル」というより、攻撃側の技術進化（特にAI）と、日本企業のセキュリティ投資・運用の遅れが同時に重なった結果、短期間に被害が表面化した状況と言えます。
デジタル庁や政府は何もしないのか？
何もしていないわけではありませんが、民間企業全体への強制力や即効性のある対策が追いついていないのが現状です。
・デジタル庁の役割
主に政府情報システムや行政サービスのセキュリティを担当しています。政府共通ネットワーク（GSS）自体が2026年9月にVPN脆弱性で約24.6万件の漏えい可能性を公表するなど、自らも被害を受けています。常時診断・対応型のアーキテクチャ推進や、クラウド利用基準（ISMAP）の改善、専門チームによる検証・監査などを進めていますが、民間企業の個々のシステムまでは直接管理していません。
・政府全体の動き（2026年10月時点）
2026年10月1日から「サイバー対処能力強化法」の一部施行。基幹インフラ事業者への報告義務化や、攻撃元サーバーへのアクセス・無害化措置（能動的サイバー防御）が可能になった。官民連携の協議会を立ち上げ、脅威情報の共有を強化。一連の被害を受けて、国家サイバー統括室を中心に手口の分析を進め、事業者への注意喚起を強化する方針を表明。個人情報保護委員会も多要素認証や不要データの削除を推奨。これまで基幹インフラ中心だった対策を、より広い企業に広げる必要性を認め始めている。
ただし、専門家からは「企業任せの部分が大きく、対策が後手に回っている」「漏洩自体への罰則が弱い」といった指摘もあります。民間企業の自主的な投資と運用改善が不可欠な状況です。
まとめ
日本が「世界最悪」というわけではなく、ITUなどの国際評価では法制度・組織面で高評価を得ている部分もあります。しかし、攻撃側のAI活用による効率化と、日本企業のDX進展に伴う攻撃面の拡大・対策の遅れが重なり、2026年特に秋以降に被害が集中して表面化しています。
個人レベルでは、パスワードの使い回し禁止・多要素認証の徹底・不審な連絡への警戒が引き続き重要です。企業側は「コスト」ではなく「投資」としてセキュリティを位置づける必要性が、政府・経済界からも強調されています。状況は流動的なので、公式発表やJPCERT/CCなどの注意喚起を継続的に確認することをおすすめします。
コメント