AIを利用したサイバー攻撃の新動向｜中小企業が確認すべき対策

「AIを利用したサイバー攻撃が増えていると聞いたけれど、うちの会社にも関係があるのだろうか」

AIの普及によって、企業の業務は便利になっています。一方で、攻撃者がAIを調査や文章作成、作業の自動化などに悪用する可能性も指摘されています。

2026年10月20日には、国内企業を狙う不正アクセスとAI関連ツールについて取り上げた報道がありました。

ただし、今回紹介する個別報道の原資料は本記事作成時点で照合できていません。特定の攻撃がAIによって実行されたことや、AIが被害の直接原因だったことを確認済みの事実として扱うものではありません。

重要なのは、AIという言葉だけに注目するのではなく、自社のどこに侵入される可能性があり、何を守る必要があるのかを考えることです。

この記事では、中小企業や建設会社が今日から確認できる対策を、実務に沿って整理します。

1．AIを利用したサイバー攻撃とは

AIを利用したサイバー攻撃とは、攻撃の準備や実行に関わる作業の一部で、AI技術が悪用されることを指します。

例えば、公開情報の整理、不審メールの文章作成、プログラムの解析などにAIが利用される可能性があります。

ただし、AIを使ったというだけで、必ず高度な攻撃になるわけではありません。

従来から存在する不正アクセス、フィッシング、ランサムウェアなどの手口と組み合わされる場合も考えられます。

企業側にとって重要なのは、AIの有無だけではなく、侵入を防ぐ対策と、侵入された場合の被害を小さくする対策の両方を整えることです。

2．2026年10月20日の報道で注目したい点

2026年10月20日正午に公開されたと紹介された記事では、国内企業を狙う不正アクセスの調査と、AI関連ツール「ARTEX」が話題になりました。

記事では、前日に公表されたとされるセキュリティ企業の調査を取り上げています。

ただし、本記事の作成時点では、その調査の原資料、技術的な確認内容、AIが実際に利用された工程、被害との因果関係について照合できていません。

そのため、特定のツールがすべての攻撃を自動で実行した、あるいは日本企業への攻撃が急増したといった断定は避ける必要があります。

企業が注目すべきなのは、公開されたシステムやアカウントを守る基本対策を、今の運用に合わせて見直すことです。

3．AIの利用で変わる可能性がある攻撃の工程

AIの利用によって、攻撃者の一部の作業が効率化される可能性があります。

この表は一般的に想定される利用例であり、今回の個別報道で各工程が実際に確認されたことを意味しません。

攻撃にAIが使われたかどうかに関係なく、企業側の基本対策が重要である点は変わりません。

4．中小企業が狙われる可能性を考える

中小企業では、情報システムを専任で管理する担当者がいないこともあります。

そのため、パソコンやクラウドの設定を導入時のままにしていたり、退職者のアカウントが残っていたりする場合があります。

また、元請や取引先と情報を共有している会社では、自社の管理状況が取引先のリスクにも関係します。

ただし、AIを利用した攻撃が特に中小企業だけを狙っていると断定する根拠は、今回確認できていません。

会社の規模に関係なく、外部に公開されたシステム、認証情報、重要データの保存先を把握することが出発点です。

5．公開システムと外部接続の確認

インターネットから利用できるシステムは、社外から業務を行うために便利です。

一方で、不要な公開設定や更新されていないソフトウェアが残っていると、不正アクセスの入口になる可能性があります。

まずは、次のようなサービスを利用していないか確認してください。

• 社外から接続できるVPNやリモートアクセス
• インターネット上で利用する業務管理システム
• 外部公開しているWebサイトや管理画面
• クラウドストレージやファイル共有サービス
• 社外から利用できるメールやアカウント管理画面

利用中のサービスを一覧にし、管理担当者、更新状況、認証設定、外部公開の必要性を確認します。

外部接続を一律に停止するのではなく、業務に必要な機能を維持しながら、不要な公開や古い設定を減らすことが重要です。

6．アカウントと多要素認証の対策

不正アクセスを防ぐためには、アカウントの管理も重要です。

例えば、複数のサービスで同じパスワードを使っていると、一つの認証情報が漏れた場合に、別のサービスへの不正ログインにつながる可能性があります。

会社では、次の項目を確認しましょう。

• 社員ごとに個別のアカウントを使用しているか
• 複数サービスでパスワードを使い回していないか
• 多要素認証を利用できるサービスで有効にしているか
• 退職者や異動者の権限を見直しているか
• 管理者権限を必要な担当者に限定しているか

特に、メール、クラウドストレージ、会計システムなど重要な情報を扱うサービスから確認すると、優先順位を付けやすくなります。

7．建設会社の図面・見積書を守る方法

建設会社では、設計図面、CAD・BIMデータ、見積書、工程表、工事写真など、業務に欠かせない情報を扱います。

こうした情報が流出すれば、取引先との信頼関係に影響する可能性があります。

また、データが暗号化されて使えなくなれば、施工内容の確認や工程調整に支障が生じることも考えられます。

まず確認したいのは、図面や見積書の正式な保存先が決まっているかという点です。

社員ごとに異なる場所へ保存していると、会社として情報を把握しにくくなります。

次のような運用を検討してください。

• 重要な図面・見積書の保存先を決める
• 共有先を必要な担当者に限定する
• 外部送信前に宛先と添付ファイルを確認する
• 工事終了後のアクセス権限を見直す
• 重要データのバックアップと復元確認を行う

AIを利用した攻撃への備えであっても、基本となるのは日常的な情報管理です。

8．協力会社とクラウド共有の注意点

建設業では、元請、下請、協力会社の間で図面や工程情報を共有する機会があります。

クラウドストレージを使えば、離れた場所でも資料を確認できますが、共有設定を誤ると意図しない相手が閲覧できる可能性があります。

例えば、共有リンクが「リンクを知っている全員が閲覧可能」になっていないか確認しましょう。

また、工事が終了した協力会社のアクセス権限が残っていないかも重要です。

共有範囲、権限、有効期限、工事終了後の削除手順を決めておくと、管理しやすくなります。

外部サービスを利用する際のリスクについては、クラウドサービス・外部事業者のリスクも参考になります。

9．バックアップと復旧手順の確認

サイバー攻撃によって重要データが使えなくなった場合、バックアップがあるかどうかが復旧に影響します。

しかし、バックアップを取得しているだけでは、実際に復元できるとは限りません。

例えば、施工図のバックアップがあっても、ファイルが破損していたり、保存先にアクセスできなかったりすれば、工事再開まで時間がかかる可能性があります。

次の点を確認してください。

• 重要データのバックアップ対象が決まっているか
• 定期的にバックアップを取得しているか
• 元データと同時に被害を受けにくい保存方法を検討しているか
• 復元テストを実施しているか
• 誰が復旧作業を担当するか決まっているか

特に、図面や工程表など工事の継続に必要なデータから優先して確認しましょう。

10．不審なメール・連絡への社員対応

AIを利用した文章作成によって、不審なメールやメッセージが自然な日本語になる可能性があります。

そのため、文章に不自然な表現があるかどうかだけで判断するのは十分ではありません。

例えば、取引先を名乗るメールで振込先変更を求められた場合、メールに返信するだけでは相手の身元を確認できないことがあります。

会社では、次の対応を共有してください。

• 不審な添付ファイルやURLを安易に開かない
• 振込先変更は既知の連絡先で再確認する
• 認証コードやパスワードをメールで伝えない
• 不審な連絡を受けたら社内担当者へ報告する

AIを利用した攻撃かどうかを社員が見分ける必要はありません。

重要なのは、相手の身元と依頼内容を、普段から決めた手順で確認することです。

11．事故が疑われた場合の初動と連絡体制

不正アクセスや情報漏えいが疑われた場合、原因が確定するまで何も対応しないのではなく、確認できている事実に基づいて初動を進める必要があります。

例えば、不審なログイン通知が届いた場合には、正規の管理画面で状況を確認し、必要に応じてアカウント保護を進めます。

ランサムウェアが疑われる場合には、被害拡大を防ぐため、情報管理担当者や専門家と連携して端末の隔離などを検討します。

会社では、次の事項を事前に決めておきましょう。

• 社員が最初に報告する担当者
• システム管理会社や保守会社の連絡先
• 重要データや業務への影響を確認する担当者
• 取引先への連絡が必要な場合の判断手順
• 事故の記録と証拠の保全方法

初動の連絡先を整理する際は、サイバー事故に備える緊急連絡体制の準備も参考になります。

12．中小企業が優先したい3つの確認事項

AIを利用したサイバー攻撃という言葉を聞くと、新しい専用システムが必要だと感じるかもしれません。

しかし、まずは現在の基本対策を確認することが重要です。

① 外部から利用できるシステムを把握する

VPN、クラウド、メール、Web管理画面など、インターネット経由で利用するサービスを一覧にします。

② 重要情報へのアクセス権限を確認する

図面、見積書、顧客情報、会計情報などについて、誰が閲覧・編集できるかを確認します。

③ バックアップと復旧体制を確認する

重要データを復元できるか、事故時に誰へ連絡するかを確認します。

この3つは、AIを利用した攻撃だけでなく、一般的な不正アクセスやシステム障害への備えにもつながります。

情報セキュリティ対策と事故への備えを整理する際は、中小企業のサイバー保険と実務対策も参考になります。

ただし、保険への加入は情報セキュリティ対策の代わりにはなりません。補償の有無は契約内容や事故状況によって異なります。

13．社長向けチェックリストと今日の一歩

最後に、自社の管理状況を確認しましょう。

• □ 外部公開しているシステムを把握している
• □ パソコンや業務ソフトの更新状況を確認している
• □ 重要なサービスで多要素認証を利用している
• □ 退職者や工事終了者のアクセス権限を見直している
• □ 図面・見積書・顧客情報の保存先が分かる
• □ クラウドの共有リンクや閲覧権限を確認している
• □ 重要データのバックアップを取得している
• □ バックアップから復元できるか確認している
• □ 不審メールや振込先変更の確認手順がある
• □ 事故時の社内報告先と外部連絡先が決まっている

AIを利用したサイバー攻撃の動向は、今後も注目が必要なテーマです。

しかし、企業が最初に取り組むべきことは、必ずしも新しい製品を導入することではありません。

自社の情報がどこにあり、誰がアクセスでき、事故時にどう復旧するのか。

この基本を確認することが、会社を守るための実用的な第一歩になります。