トレンドマイクロは2026年10月16日、2026年1〜9月に国内組織が公表したセキュリティインシデントの集計と分析を公開した。被害組織のプレスリリースや公式SNSといった一次情報を同社が独自に収集したもので、公表件数は607件、1日当たり2.2件に上る。集計対象はサイバー攻撃の被害が確認された案件に限り、メールの誤送信などの運用ミスや報告のみの案件は含まれない。2025年は1年間で594件（1日当たり1.6件）だったため、9カ月で前年1年分の件数を超え、1日当たりの件数も前年を上回った。
9月の急増は「公表が増えただけ」といえるのか
公表の増え方は2026年9月後半から顕著になり、10月は1〜9日だけで52件に達した。10月9日時点の累計は659件で、同社の集計で最も多かった2024年の645件を上回った。この状況を受け、内閣官房国家安全保障局や金融庁、JPCERT/CC、個人情報保護委員会が相次ぎ注意喚起を発出している。
トレンドマイクロは被害の発覚時期と公表時期の関係を分析し、「実際の国内組織へのサイバー攻撃が9月に多くなっていることは間違いない」と結論付けている。
2026年9月に公表された90件のうち、攻撃の検知や被害の発覚時期が明記されていた63件を見ると、検知や発覚から初報の公表までが15日以内だったケースが約8割を占めた。攻撃を受けた時期と公表時期がほぼ重なっており、9月の公表急増は攻撃そのものの増加を反映していると同社はみている。
不正アクセスが最多、公開システム狙いが増加
1〜9月の607件を攻撃カテゴリー別に見ると、最も多いのは「不正アクセス」の331件（54.5％）だ。被害の詳細が判明していない段階では、定義の広い「不正アクセス」という表現が使われやすい。調査で判明した事実を伝える2回目以降の「追報」があったケースは186件（30.6％）にとどまる。
次に多い「ランサムウェア」は82件（13.5％）で、2025年同期の79件とほぼ横ばいだ。例年は10月から翌年3月にかけて被害の発表が増える傾向があるという。3番目は2026年から集計を始めた「データサプライチェーン被害」の62件（10.2％）だった。データの保管先組織がサイバー攻撃を受け、保管元が被害を公表するケースを指す。こうした事案は2023年以降頻発しており、2026年も保管先企業の被害公表を受け、多数の保管元が被害を公表した。
攻撃の入り口にも変化が出ている。攻撃サーフェス（攻撃対象領域）が判明している375件のうち、公開システム（Webサーバ、Webアプリケーション、クラウドサーバ）が38.7％を占めた。メールサーバやVPNは公開システムかどうかを判断できないケースがあるとして、この分類には含めていない。2025年通年の30.3％から割合が高まり、インターネットに接続された公開システムが狙われる構造が強まっている。
被害組織の業種は「製造」（19.6％）、「サービス」（19.1％）、「情報サービス・通信プロバイダ」（12.2％）の順に多い。この分布は日本の法人組織の業種構成を反映している面もあるため、特定の業界に被害が偏っているとは読み取れないと同社は注意を促す。
攻撃ログに残る「これまでとは違う挙動」
急増の背景として関心を集めるのが、攻撃者によるAIの悪用だ。トレンドマイクロは2025年から、不正サイトのソースコードやマルウェアの解析を通じて、攻撃者がAIを悪用している明確な証拠を確認しているという。2026年9〜10月の国内インシデントについては、攻撃手段にAIが直接使われたとは断定できないとしつつ、同社が調査した公開システムの侵害ケースでは、ログに次のような特徴が確認されている。
- AIに作らせた場合に残りやすい痕跡：攻撃者がサーバを遠隔操作するために設置する不正プログラム「Webシェル」や不審ファイルに、実行されない注釈（コメントアウト）の形で攻撃対象の組織やサービスの名称が残っている
- 定番ではない脆弱（ぜいじゃく）性の悪用：悪用された脆弱性が、直近で悪用が観測されていると広く認知されたものではない
- 試行錯誤の速さ：攻撃の試行錯誤と、失敗を踏まえた見直しが従来と比べて速い
- 最短経路を探る動き：狙いが定まった後は執拗に攻撃せず、得られた応答を基に限定的に攻撃を仕掛け、成功を見極めている可能性がある
同社は、これらがAIを直接用いた攻撃だと示す証拠があるわけではないとした上で、ログ上で「これまでとは違う挙動」を捉えていると説明する。
対策として同社は、情報資産の棚卸しからリスクへの対処までを次の3つの手順で進めることを推奨している。情報資産のセキュリティ状況の可視化（保有、運用、保管している情報資産を客観的に棚卸しし、インターネットへの接続状況やアクセス権限、脆弱性の有無を確認できるようにする）、サイバーリスクの優先順位付け（停止すると事業が止まる中核システムや、攻撃を受けやすい公開システムなど、リスクの高い順に対処の優先度を決める）、サイバーリスクの対処（パッチ未適用の公開システムなど優先度の高いリスクから対処する。脅威の検知と対応を支援するEDRやXDRを活用し、インシデントに対応する体制も整える）。
AIの悪用は今後も進むと同社は予想する。その上で、こうした基本対策の重要性は変わらないとしている。
