その標的型メール、AIが下調べしたものかもしれない

「当社のような中小企業を、攻撃者がわざわざ詳しく調べることはない」

これまで、そのように考えていた企業も少なくありません。しかし、生成AIやAIエージェントの普及によって、企業の公開情報を集め、攻撃対象を選び、巧妙なメールを作成するまでの作業が自動化されつつあります。

2026年10月19日に発行されたIPA「情報セキュリティ白書2026」でも、AIの悪用によるランサム攻撃や標的型攻撃の高度化と、サプライチェーンを構成する中小企業の対策強化が取り上げられています。IPA「情報セキュリティ白書2026」

OSINTとは何か
OSINTとは「Open Source Intelligence」の略で、Webサイト、SNS、報道、公開データベースなど、誰でも閲覧できる情報を収集・分析する活動です。

OSINT自体は違法なものではありません。市場調査、企業調査、セキュリティ診断、災害情報の分析など、正当な目的でも利用されています。

一方、攻撃者がOSINTを悪用すると、次のような情報が攻撃準備に使われる可能性があります。

– 企業のWebサイトや採用情報
– 役員、担当者、組織構成
– 社員がSNSで公開した仕事内容
– 使用しているクラウド、VPN、CMSなどの製品名
– ドメイン、DNS、SSL証明書の情報
– インターネットに公開されたサーバーや管理画面
– GitHubなどで公開されたソースコード
– 過去の障害や情報漏えいに関する発表
– 公開された脆弱性情報

一つひとつは問題のない情報でも、組み合わせることで、企業のシステム構成、取引関係、担当者、狙いやすい侵入口などが推測される場合があります。

AIで攻撃準備がどう変わるのか

従来、特定企業を狙う攻撃には、情報を一つずつ検索して整理する手間がかかりました。

生成AIやAIエージェントを使うと、その一部を自動化できます。

例えば、攻撃者は次のような流れで準備を進められます。

1. 多数の企業サイトや採用情報を収集する
2. 使用している製品やシステムを推測する
3. 公開されている脆弱性情報と照合する
4. 担当者や取引先の関係を整理する
5. 攻撃しやすそうな企業を選別する
6. 相手の業務に合わせたメール文面を作る
7. 新しいサーバーや脆弱性の公開を継続監視する

MITRE ATT&CKでも、生成AIは偵察、スクリプト作成、ソーシャルエンジニアリング、攻撃用コードの開発、フィッシング文面の多言語化などに利用される可能性があると整理されています。MITRE ATT&CK「Artificial Intelligence」

「新しい攻撃」より「従来の攻撃が速くなる」ことが問題

AIが使われたからといって、すべての攻撃が高度で未知のものになるわけではありません。

現時点で特に注意すべきなのは、パスワード攻撃、フィッシング、脆弱性の悪用、マルウェア感染といった従来型の攻撃が、AIによって半自動化・高速化されることです。

IPAも「情報セキュリティ10大脅威2026」の解説で、多くの事例は従来と変わらないサイバー攻撃がAIによって半自動化・高速化されたものだと説明しています。IPA「情報セキュリティ10大脅威2026」解説書

攻撃者にとっては、詳しい調査に必要な時間と費用が下がります。
その結果、これまで標的型攻撃の対象になりにくかった中小企業にも、個別に作ったように見える攻撃メールが届きやすくなります。

例えば、採用情報も攻撃の手掛かりになる
自社の採用ページに、次のような記載があったとします。

「〇〇製VPNの運用経験者」
「Microsoft 365の管理経験者」
「AWS上のWebシステム運用担当者」

採用活動では必要な情報ですが、攻撃者はここから利用中の製品や環境を推測できます。

さらに、社員のSNS、会社の組織図、取引先の発表、公開サーバーの情報などをAIに整理させれば、実在する上司や取引先を装ったメールも作りやすくなります。

メールの文章に不自然な日本語がないからといって、安全とは限りません。

中小企業が行うべき7つの対策

1．外部に公開しているシステムを一覧化する
Webサイト、VPN、クラウド、API、管理画面、テスト環境など、インターネットからアクセスできるシステムを把握します。

2．不要な情報やシステムを公開しない
利用していないサーバーや古いテスト環境は停止します。管理画面はVPNや接続元制限などで、公開範囲を狭めます。

3．パスワードだけに依存しない
管理者アカウント、Microsoft 365、VPN、クラウドサービスには、多要素認証を導入します。

4．脆弱性と更新状況を継続的に確認する
OSやアプリケーションの脆弱性が公表されると、攻撃者もその情報をすぐに利用します。影響を受ける端末やサーバーを把握し、優先順位を付けてパッチを適用します。

5．メールの内容を別経路で確認する
経営者、取引先、金融機関などを名乗る送金依頼やパスワード変更依頼は、登録済みの電話番号など別の方法で確認します。

6．侵入後の動きを監視する
マルウェア対策だけでなく、通常とは異なるプログラムの実行や不審な通信を検知するEDR、ログ監視などを検討します。

7．復旧できるバックアップを準備する
侵入を完全に防げない場合に備え、バックアップを本番環境から分離して保管し、定期的に復元テストを行います。

Acronisでサーバー・端末・データをまとめて保護

Acronis Cyber Protect Cloudでは、企業のパソコンやサーバーに対して、次の対策をまとめて管理できます。

– 脆弱性の評価
– 対応するOS・アプリケーションのパッチ管理
– マルウェア対策
– EDRによる不審な挙動の検知・調査
– サーバー、パソコン、Microsoft 365などのバックアップ
– データやシステムの復旧
– 各端末の保護状況の可視化

AIやOSINTによる情報収集そのものをAcronisで止めることはできません。
しかし、攻撃者が脆弱性や端末を狙ってきた際の侵入防止、早期発見、被害拡大の抑制、復旧を支援できます。

特にIT担当者が限られている中小企業では、脆弱性、パッチ、マルウェア対策、EDR、バックアップを一つの管理画面で確認できることが、運用負担の軽減につながります。

WebサイトやAPIの入口については、AkamaiのWAF、API保護、ボット対策などを組み合わせることで、より多層的な防御が可能になります。

今週確認したい5項目

– 自社が外部公開しているサーバーを把握していますか
– 不要な管理画面やテスト環境が残っていませんか
– 管理者アカウントに多要素認証を設定していますか
– 脆弱性やパッチ未適用端末を確認できますか
– ランサムウェア被害を想定した復元テストを行っていますか

一つでも分からない項目があれば、攻撃者に調べられる前に、自社の外部公開情報とセキュリティ運用を点検する必要があります。

まとめ
AIとOSINTの悪用によって変わるのは、攻撃方法そのものだけではありません。

これまで人手と時間が必要だった企業調査、脆弱性の照合、標的の選別、メール文面の作成が高速化され、中小企業も個別に狙われやすくなります。

対策の基本は変わりません。公開範囲の見直し、多要素認証、迅速なパッチ適用、EDRによる監視、バックアップと復旧を組み合わせることが重要です。

弊社では、Acronis Cyber Protect Cloudを活用したサーバー・端末保護、脆弱性・パッチ管理、EDR、バックアップのほか、Akamaiを含むWeb／APIの入口対策についてご相談を承ります。

「自社の公開システムを整理したい」
「パッチが適用されているか分からない」
「攻撃を受けても復旧できる体制を作りたい」

このようなお悩みがございましたら、お気軽にお問い合わせください。

Acronis・Akamai・脆弱性診断のご相談はこちら

執筆・監修：株式会社ウイル 執行役員 岸本　静樹
編集協力：生成AI