Recorded Futureは2026年10月22日（現地時間）、日本の組織を標的とするサイバー攻撃の増加を分析したレポート「Behind Japan’s Warnings of a Cyber Crisis」を公開した。同社の脅威研究部門Insikt Groupによると、2026年第3四半期に確認した日本関連のサイバー攻撃の報告件数は918件に達し、第2四半期の621件から48%増加した。
被害は小売、鉄道、物流など広範な業種に
被害は小売、鉄道、物流、メディア、教育、ソフトウェアなど広範な業種におよび、個人情報の大量流出や事業活動の停止が発生している。日本政府はサイバー攻撃の深刻化に警戒を強めており、トレンドマイクロの調査でも、2026年1～9月に日本で発生したサイバー攻撃の件数が2025年の年間総数を上回った。9月だけで86件の攻撃が報告されている。
Insikt Groupは、2026年第3四半期に確認した被害の特徴として、標的となる業種の広がりと被害規模の大きさを挙げた。攻撃手法にはランサムウェア、クラウドサービスの認証情報の窃取、外部公開システムの脆弱性悪用などが含まれる。
7月に3300万件、9月に660万件のデータ流出
7月には予約管理サービス「EPARK PeakManager」から約3300万件のデータが流出し、9月には「タイムズカー」で約660万件のアカウントが被害を受けた。第4四半期に入っても被害は続き、10月にはIDCフロンティアへのランサムウェア攻撃や、ソースネクストのAPI不正利用による顧客情報へのアクセスが明らかになった。
国内のセキュリティ機関も警戒を強めている。JPCERT/CCは、修正プログラム未適用のシステムや設定不備の悪用、盗まれた認証情報を使ったAPI攻撃などに注意を呼びかけた。また、マクニカの調査では、2026年に公表されたWebシステムからの個人情報流出事案119件のうち、約68%が7月以降に集中していた。
なぜ日本が狙われるのか
攻撃増加の背景として、Insikt Groupは日本の個人情報に対する犯罪市場の需要を挙げた。日本は経済規模が大きく、金融取引や本人確認に関する要件もあるため、日本の組織から流出した情報がダークWeb上で高く評価される傾向があるという。
老朽化した情報システムの普及も課題となっている。マネーフォワードが2026年4月に公開した記事によると、日本企業の6割超が旧式システムやサポート終了済みのソフトウェア、古いOSを利用している。こうしたシステムには既知の脆弱性が残り、攻撃の侵入口となる危険がある。
AIによる攻撃の効率化も懸念されている。Recorded Futureは、脆弱性の調査や攻撃手順の実行、自然な日本語によるフィッシングメールの作成などで、AIが攻撃の技術面や言語面の障壁を下げる可能性を指摘した。ただし、最近の日本への攻撃でAIが使用されたかどうかは確認されていない。
能動的サイバー防御法の影響と推奨対策
制度面では、10月1日に施行された能動的サイバー防御関連法の報告義務が、今後の公表件数に影響する可能性がある。Recorded Futureは、新制度の施行を控えた企業が、従来なら公表しなかった事件を報告した可能性にも言及している。ただし、報告件数の増加が実際の攻撃増加をどの程度反映しているかは慎重に見る必要がある。
対策としてInsikt Groupは、旧式システムの更新、外部公開機器の保護、APIの認可制御強化、フィッシング耐性のある多要素認証の導入などを推奨した。さらに、個人情報の保有量やアクセス権限の見直し、バックアップからの復旧訓練なども求めている。
