チップス
どんぐり大学卒、一般企業の情報システム部で働く若手エンジニア。
入社1〜3年目らしい悩みを抱えつつ、日々の運用やセキュリティ対応に奮闘中。慌てんぼうだが素直で吸収力が高く、ボスに鍛えられながら着実に成長している。
ボス
セキュリティ、インフラ、運用の修羅場をくぐってきた歴戦のエンジニア。サイバーセキュリティラボの所長でボスと呼ばれている。
現場視点と経営視点の両方から、本当に使えるセキュリティとキャリア戦略を叩き込む。口は悪いが面倒見はよく、若手育成と実践的な情報発信に力を注いでいる。
@boss_sec_labo
「最近の不正アクセス、本当にAIが使われているの？」
「スマホアプリを出しているだけの会社も狙われるの？」
チップスボス、相次いでいる不正アクセスにAIが使われていたって本当でしゅか？
ボスJPCERT/CCが攻撃者側のサーバーを調べて、AIでスキャンやAPI攻撃をしていた痕跡を確認した。
チップスAIが勝手に攻撃してくるなんて、怖すぎるでしゅ……。
ボス怖がる前に、何をされたのかを知ることだ。手口が分かれば守り方も見えてくる。
2026年9月ごろから、国内の企業で個人情報の漏えいが相次いでいます。
JPCERT/CCは10月15日、一連の事案に関連する攻撃インフラを調べた結果を公開しました。
この記事では、調査で分かったことと、Webサービスやスマホアプリを持つ企業が見直すべき点を整理します。
3行で分かるニュースのポイント
自社のアプリやAPIが同じ手順で狙われたとき、どこを先に固めればよいかが分かります。
オススメ求人・フリーランス案件
【ISMS認証取得支援・PMO（3拠点）】東京都（赤坂駅・リモート併用）／セキュリティマネジメント
【大手企業のセキュリティ推進・脆弱性診断対応】東京都・田町（常駐）／脆弱性レポート・情シス業務
【大手リユース企業のSOC/CSIRT運用・インシデント対応】東京都・飯田橋（リモート併用）／EDR・SIEM・運用自動化
【脆弱性管理・診断基盤の内製化推進】東京都（フルリモート）／ツール導入・セキュリティ運用
【セキュリティ企画推進・コンサルタント】大阪（リモート併用）／セキュリティ戦略・ポリシー策定
【セキュリティ基準準拠・運用改善支援（NIST・ISMS）】豊洲（リモート併用）／PMO
【社内セキュリティ技術コンサルティング】東京・渋谷（常駐）／インフラ全般・設計レビュー・最新技術調査
【セキュリティサービス基盤の環境改善支援】東京・武蔵小杉（フルリモート）／AWS・マルチクラウド・構成改善
【インフラセキュリティ・脅威検知構築】東京・六本木（常駐）／Azure・ゼロトラスト・AD
【Zscalerゼロトラストネットワーク運用】東京・調布（リモート併用）／設計・構築・運用
社内SE【年収700～1500万円】セキュリティ・インフラの構築・運用
【東証プライム】情報セキュリティマネージャー候補・事業成長支援（850～1100万円）
【年収500〜800万円】日立グループ｜自動車サイバーセキュリティコンサルタント（横浜・在宅可）
【三菱地所グループ】セキュリティエンジニア（マネジメント・エンジニアリング）年収628〜1200万円
【社内セキュリティ推進室長】800〜1100万円｜人材大手ディップ・リモートOK
【年収750〜1200万円】グローバル7拠点・プロダクトセキュリティエンジニア（東京）
【年収600～1000万円】IT人材紹介企業での社内SE（セキュリティ・ガバナンス）
プロダクトセキュリティエンジニア【AWS・GCP】年収650～1000万
【700～900万】セキュリティ診断テックリード
役員直下｜コーポレートIT・セキュリティ責任者候補【627～908万円】
注意喚起から1週間で、攻撃者側のサーバーの中身が明らかになりました。
JPCERT/CCは10月8日、国内で相次ぐ不正アクセスによる個人情報漏えいについて注意喚起を出していました。
その後、複数の組織と連携して攻撃インフラを調べ、10月15日にJPCERT/CC Eyesで結果を公開しています。
ブログでは、攻撃者がAIを利用して既知の脆弱性のスキャンやAPI経由の攻撃を実施していたことを確認したと述べています。
調査の主な流れは以下の通りです。
ANNの報道によると、攻撃の対象は国内のサービスにとどまらず、海外のWebサービスにも及んでいました。
JPCERT/CCは、攻撃元のIPアドレスについて情報提供を呼びかけています。
チップス攻撃者のサーバーの中まで調べられるんでしゅね！
ボスそうだ。そこに残っていた道具が、攻撃の手順をそのまま物語っていた。
調査対象のサーバーは3台で、それぞれ性格が違っていました。
ブログに書かれた特徴は以下の通りです。
| サーバー | 主な痕跡 |
|---|---|
| 1台目 | AndroidのAPKファイルを解析して特定のAPIを割り出し、SSRFを確かめるPythonスクリプトがあった |
| 2台目 | 複数のAPKファイルと、jadxやBlutterといった解析ツールが置かれていた |
| 3台目 | 今回の攻撃とは直接関係しない別のサーバーで、MySQLやJenkins、メールゲートウェイを狙う手法やEDR回避を試みた痕跡、Webシェルがあった |
Blutterは、Flutterで作られたアプリのコンパイル済みコードを解析するツールです。
1台目と2台目の痕跡から、攻撃者は公開されているスマホアプリを分解し、裏で呼んでいるAPIを見つけてから攻撃していたと読み取れます。
既知の脆弱性のスキャンやAPI経由の攻撃に、AIが使われていました。
JPCERT/CCのブログから読み取れる攻撃の流れは、以下のように整理できます。
アプリの中にAPIキーや長く有効な認証情報が埋め込まれていると、この手順で抜き取られる恐れがあります。
JPCERT/CCは対策として、秘密情報をアプリに埋め込まないこと、サーバー側で認証と認可を確実に行うことを挙げています。
あわせて、APIのレート制限と異常な利用の監視、SSRF対策としてアクセス先の制限とリダイレクトの検証を求めています。
チップスアプリの中身まで見られるなんて知らなかったでしゅ！
ボスアプリは配った時点で相手の手元にある。中に鍵を入れておけば、鍵を配っているのと同じだ。
WAFサービスを提供するScutumも、10月14日にAIエージェントによる攻撃について注意喚起を出しています。
同社は10月10日夜から14日にかけて、3つのIPアドレスから国内のWebサイトへの攻撃を観測しました。
観測された内容は以下の通りです。
| IPアドレス | 観測した内容 |
|---|---|
| 1つ目 | 約1000件のリクエスト、1フェーズ |
| 2つ目 | 合計約1440件、第3波で毎分約44件、5フェーズ |
| 3つ目 | 合計約1万2400件、最高で毎秒約35件、10フェーズ、ログイン画面へのアクセスとログイン試行が計約250件 |
攻撃ではcurlやffuf、Nmap、ヘッドレスブラウザなどの道具を切り替えながら使っていました。
Scutumは、従来の単純な連続リクエストとは異なる流れが見られたとしています。
同社が挙げる対策は、脆弱性のない状態にすることと、シグネチャだけに頼らないWAFを導入することです。
JPCERT/CCは、国内で相次ぐ不正アクセスに関連するサーバー3台を調べ、攻撃者がAIで既知の脆弱性のスキャンやAPI攻撃をしていたと確認しました。
攻撃者はスマホアプリを分解してAPIを割り出し、SSRFなどを試していました。
アプリに秘密情報を埋め込まず、サーバー側の認証と認可、APIの監視を固めることが求められます。
ボスAIが攻撃を速くしても、穴がなければ入れない。基本の守りを今すぐ点検しろ。
チップスうちのアプリにAPIキーが入っていないか、開発チームに聞いてみるでしゅ！
参考：
JPCERT/CC Eyes「連続不正アクセス事案の攻撃手法に関する調査」
JPCERT/CC「国内で相次ぐ不正アクセスに対する注意喚起」
Scutum「AIエージェントによるウェブサイトへの攻撃の注意喚起」
ANN（Yahoo!ニュース）「相次ぐ不正アクセス事案はAI利用で攻撃 情報セキュリティーの民間団体が確認」
オススメ求人・フリーランス案件
【ISMS認証取得支援・PMO（3拠点）】東京都（赤坂駅・リモート併用）／セキュリティマネジメント
【大手企業のセキュリティ推進・脆弱性診断対応】東京都・田町（常駐）／脆弱性レポート・情シス業務
【大手リユース企業のSOC/CSIRT運用・インシデント対応】東京都・飯田橋（リモート併用）／EDR・SIEM・運用自動化
【脆弱性管理・診断基盤の内製化推進】東京都（フルリモート）／ツール導入・セキュリティ運用
【セキュリティ企画推進・コンサルタント】大阪（リモート併用）／セキュリティ戦略・ポリシー策定
【セキュリティ基準準拠・運用改善支援（NIST・ISMS）】豊洲（リモート併用）／PMO
【社内セキュリティ技術コンサルティング】東京・渋谷（常駐）／インフラ全般・設計レビュー・最新技術調査
【セキュリティサービス基盤の環境改善支援】東京・武蔵小杉（フルリモート）／AWS・マルチクラウド・構成改善
【インフラセキュリティ・脅威検知構築】東京・六本木（常駐）／Azure・ゼロトラスト・AD
【Zscalerゼロトラストネットワーク運用】東京・調布（リモート併用）／設計・構築・運用
社内SE【年収700～1500万円】セキュリティ・インフラの構築・運用
【東証プライム】情報セキュリティマネージャー候補・事業成長支援（850～1100万円）
【年収500〜800万円】日立グループ｜自動車サイバーセキュリティコンサルタント（横浜・在宅可）
【三菱地所グループ】セキュリティエンジニア（マネジメント・エンジニアリング）年収628〜1200万円
【社内セキュリティ推進室長】800〜1100万円｜人材大手ディップ・リモートOK
【年収750〜1200万円】グローバル7拠点・プロダクトセキュリティエンジニア（東京）
【年収600～1000万円】IT人材紹介企業での社内SE（セキュリティ・ガバナンス）
プロダクトセキュリティエンジニア【AWS・GCP】年収650～1000万
【700～900万】セキュリティ診断テックリード
役員直下｜コーポレートIT・セキュリティ責任者候補【627～908万円】
