ロシアでは2026年10月、企業の情報漏洩やサイバー攻撃に関する調査結果が相次いで公表された。流出したデータベースの公開件数は前年より減少した一方、セキュリティ企業の監視対象で確認されたサイバーインシデントは増加している。システムの脆弱性や設定不備に加え、AIを使った攻撃の自動化も問題となっている。

日本でもランサムウェアによる被害が続き、中国で開発されたAI利用の侵入テストツール「ARTEX」の悪用が報告された。従来からあるシステムの弱点が狙われる一方で、AIによって攻撃の手法や速度が変化し始めている。

ロシアで公開された流出データ、9カ月で119件

ロシアのサイバーセキュリティ企業F6が10月12日に発表した調査によると、2026年1～9月に同社が把握した、ロシア企業・組織の流出データベースの新規公開事例は119件だった。前年同期の198件から約40％減少した一方、公開されたデータは合計5億3,800万行に上った。

流出データには、氏名、住所、パスワード、生年月日、旅券情報、電話番号、メールアドレスなどが含まれていたという。

119件という数字は、同期間に新たに発生した情報漏洩事件の総数ではなく、流出したデータベースが新たに公開された事例数を示す。また、5億3,800万行がそのまま被害者数を意味するわけでもない。

F6は公開件数が減少した背景として、流出データを扱う地下フォーラムや通信チャンネルの活動低下、一部のサイトの閉鎖などを挙げている。過去に流出したデータが後から公開されることもあり、公開件数の減少がサイバー攻撃そのものの減少を示すとは限らない。

一方、別のロシアのセキュリティ企業Solarが10月5日に発表した調査では、2026年上半期に同社の監視・対応サービスで確認されたサイバーインシデントが1万7,000件を超え、前年同期比17％増加した。

その内訳は、不正プログラムを用いた攻撃が53％、ネットワークへの攻撃や侵入前の調査活動が24％で、残る23％には情報漏洩や不正アクセスなどが含まれていた。

F6は流出データベースの公開状況、Solarは自社の監視対象で発生したセキュリティ上の事象を集計している。対象期間や集計方法が異なるため、両社の数字を足してロシア全体の被害件数とすることはできない。

ロシアの製造業ではシステムの弱点や委託先が侵入口に

攻撃者は、どのように企業のシステムへ侵入しているのだろうか。

ロシアのセキュリティ企業BI.ZONEが10月12日に発表した調査によると、同社が2026年1～9月に調査したサイバー攻撃事案のうち、製造業に対する攻撃が60％を占めた。

製造業のシステムへの侵入口を分析したところ、確認された侵入口の60％は、外部との接続部分にある脆弱性や設定不備に関係していた。

主な侵入経路には、企業の基幹業務システム、ルーターなどのネットワーク機器、業務用メールシステムなどが挙げられている。また、調査事案の20％では、委託先や外部の供給事業者側の脆弱性・侵害が関係していた。

製造業が占める60％と、製造業の侵入口に関する60％は、それぞれ異なる対象を集計した数字である。これらの割合はBI.ZONEが調査した事案に限られ、ロシアの全企業を対象とする統計ではない。

同社は、製造業では設備やシステムを長期間使用することが多く、古いシステムや脆弱性が残りやすいと指摘している。工場などの生産設備は、攻撃によって停止すると製造や取引に影響するため、企業側にとって業務を継続できる体制の整備も重要となる。

日本でもVPN機器などが攻撃の入口に

日本でも、企業の外部接続部分を経由したサイバー攻撃が問題になっている。

警察庁が2026年9月10日に公表した資料によると、同年上半期に警察へ報告されたランサムウェア被害は123件となり、半期の件数として過去最多だった。

ランサムウェアは、データを暗号化して利用できなくするなどしたうえで、復旧や情報の非公開と引き換えに金銭を要求する攻撃に使われる不正プログラムである。

警察庁が被害企業・団体を調査したところ、感染経路について有効回答が得られた36件のうち、VPN機器を経由したものが18件、リモートデスクトップを経由したものが9件だった。

VPN機器は社外から社内ネットワークに安全に接続するための仕組みで、リモートデスクトップは離れた場所からパソコンを操作するために利用される。いずれも通常の業務に必要な機能だが、機器の脆弱性や漏洩した認証情報などを悪用されると、攻撃者の侵入口になり得る。

ロシアのBI.ZONEと日本の警察庁では調査対象や攻撃の種類が異なり、それぞれの割合を直接比較することはできない。ただし、企業の外部接続部分や認証情報の管理が、両国で共通するセキュリティ上の課題となっている。

ロシア内務省、AIを利用した攻撃グループの活動を公表

ロシアでは、AIを利用したサイバー攻撃も捜査対象となっている。

ロシア内務省は2026年10月19日、大手ピザチェーンの顧客情報が保存されたデータベースに不正アクセスした疑いのある人物を、アルタイ地方のバルナウルで拘束したと発表した。

同省によると、容疑者はフィッシングやセキュリティ対策を回避する手口を使い、仮想サーバーを経由して、注文情報、配達先住所、顧客の電話番号などに不正アクセスした疑いがある。

さらに、容疑者が主要メンバーだった攻撃グループは、AIツールを利用することで攻撃を高度に自動化していたという。ロシア内務省は、従来は攻撃の準備から実行まで数週間を要していたものが、数時間で可能になっていると説明した。

容疑者については刑事事件として捜査が進められており、身柄拘束後は自宅軟禁の措置が取られた。同省の発表では、被害企業の名称や、攻撃に使われたAI製品名は明らかにされていない。

日本で悪用されたARTEX、ロシア語メディアでも報道

日本では、GMOサイバーセキュリティ byイエラエが10月19日、日本企業を狙った不正アクセスの攻撃元インフラを調査した結果、AIを利用する自律型侵入テストツール「ARTEX」の使用を確認したと発表した。

ARTEXは中国で開発されたオープンソースのツールで、外部のAIモデルと連携し、システムの脆弱性を探すなどの侵入テストを自動化する仕組みを持つ。本来はセキュリティ対策を目的とする技術だが、実際の攻撃にも悪用されている。

GMOサイバーセキュリティによると、調査した攻撃元インフラの一つでは、日本企業約20社が標的になっていた。さらに、日本企業を中心に狙うAI利用の攻撃用インフラ6台も発見したという。

一方、米国のセキュリティ企業CrowdStrikeは10月7日、韓国の金融機関を標的とした攻撃でARTEXが使われていたとする技術調査を公表した。

CrowdStrikeによると、韓国の事件ではARTEXが主に中国のAIモデル「DeepSeek v4.1-flash」を利用し、ほかに「GLM-5.3」や「Grok 4.6」も併用されていた。

この問題はロシア語メディアでも報じられている。ロシアの技術系ニュースサイトIXBT.comは10月7日、韓国の金融機関への攻撃とARTEXの悪用について紹介した。

ただし、韓国の事例で使われたAIモデルが、日本の攻撃でも使われたとは限らない。GMOサイバーセキュリティの発表では、日本の事案で利用されたAIモデル名には触れていない。また、ロシア内務省が公表したピザチェーン関連の事件でも、ARTEXという製品名は挙げられていない。

ARTEXが中国で開発されたツールであることは、攻撃者が中国の特定の組織に所属していることを意味しない。CrowdStrikeも、韓国の事案について攻撃者を特定の組織に結び付けるまでには至っていないとしている。

情報流出の公開件数は減少、それでも攻撃は続く

ロシアのF6の調査では、2026年1～9月に公開された流出データベースの件数が前年同期より約40％減少した。一方、Solarが2026年上半期に自社の監視対象で確認したサイバーインシデントは17％増加した。

両社は異なる事象を集計しているが、F6が公開件数の減少理由として挙げたのは、流出データを取引する地下フォーラムの活動低下や閉鎖などだった。情報が表に出る件数が減っても、企業への攻撃そのものが減少したとは限らない。

もう一つの変化は、AIによる攻撃の高速化だ。ロシア内務省は10月19日、摘発した容疑者が主要メンバーだった攻撃グループについて、AIの活用により、従来は数週間かかっていた攻撃の準備と実行が数時間で可能になったと説明した。日本でも、AIを利用して侵入テストを自動化するARTEXが攻撃に悪用されたと報告されている。

その一方で、ロシアの製造業では業務システムの脆弱性や設定不備、委託先を通じた侵入が問題となっている。日本でも、ランサムウェア被害ではVPN機器やリモートデスクトップが主な侵入口として挙げられている。いずれもAIの登場以前から知られているセキュリティ上の弱点だ。

攻撃の手法は新しくなっても、狙われる弱点は必ずしも新しくない。 日本とロシアの事例からは、AIによる攻撃技術の進化と、従来型のセキュリティ上の問題が併存する状況が浮かび上がる。

出典
ITmedia NEWS（2026年10月20日）
［原文の記事はこちら］

IXBT.com（2026年10月7日）
［原文の記事はこちら］

公式発表
F6（2026年10月12日、Vedomosti掲載の企業プレスリリース）
［公式発表はこちら］

Solar（2026年10月5日）
［公式発表はこちら］

BI.ZONE（2026年10月12日）
［公式発表はこちら］

ロシア内務省報道センター（2026年10月19日、MVD MEDIA掲載）
［公式発表はこちら］

警察庁（2026年9月10日）
［公式発表はこちら］

CrowdStrike（2026年10月7日）
［公式発表はこちら］

AIの利用について
本記事の作成には生成AIを利用しています。内容の正確性・完全性を保証するものではありません。詳細については、上記の出典および公式発表をご確認ください。