AIを使ったサイバー攻撃とは、攻撃者が生成AIやAIエージェントを使い、だましのメール作りや弱点探し、侵入の手順を速く大量にこなす攻撃のことです。IPA（情報処理推進機構）の解説書は、AIに固有の弱点を突く一部の攻撃を除けば、大部分は従来の攻撃がAIで半自動化・高速化されたものにとどまり、従来の対策が有効だとまとめています。会社として先に手を付けたいのは、送金や認証といった基本の手順を締め直すことと、社員が業務で使う生成AIを会社の管理下に集めることの2つになります。手口ごとに社内で起きる場面と止め方、被害に気づいたときの報告期限まで、順に見ていきましょう。
AIを使ったサイバー攻撃とは｜IPAが3位に挙げたリスクと考え方
AIを使ったサイバー攻撃は、攻撃する側がAIを道具として使う攻撃と、会社が業務で使うAIそのものを狙う攻撃の2つに大きく分けられます。どちらも、社員10〜200名の会社にとって遠い話ではありません。IPAの解説書は、AIの悪用によって攻撃そのものが容易になる可能性が指摘されていると書いています。
IPA「情報セキュリティ10大脅威 2026」で初めて3位に
IPAが2026年1月29日に公表した「情報セキュリティ10大脅威 2026」の組織編で、「AIの利用をめぐるサイバーリスク」が初めて選ばれ、いきなり3位に入りました。順位は、情報セキュリティの研究者や企業の実務担当者など約250名の選考会が、審議と投票を経て決めたものです。1位はランサム攻撃による被害、2位はサプライチェーンや委託先を狙った攻撃で、10位にはビジネスメール詐欺が入りました。
IPAの発表は、このリスクとして想定されるものを幅広く挙げています。
- AIへの理解が足りないことによる、意図しない情報漏えいや他者の権利の侵害
- AIが作った結果を確かめず、そのまま使うことで起きる問題
- AIの悪用による、サイバー攻撃の容易化と手口の巧妙化
中心になるのは3つ目ですが、1つ目の情報漏えいも社員が業務で使う生成AIの扱い方で起きるため、後半で管理の仕方とあわせて取り上げます。
新しい攻撃と、速くなった従来の攻撃を分けて考える
IPAの解説書［組織編］には、AIとサイバーセキュリティの現在地をまとめたコラムがあります。そこでは、AIに固有の弱点を狙う間接プロンプトインジェクションを新しい時代の攻撃と位置づけたうえで、それ以外の事例の大部分は、従来と変わらない攻撃がAIで半自動化・高速化されたものにとどまると整理しています。そのため従来のサイバーセキュリティ対策が有効だというのが、このコラムの結論になります。同じコラムは、AIの技術は速く進んでおり、数か月のうちに状況が変わる可能性が常にあるとも書いています。
AIだから特別な製品が要ると考える前に、今ある基本の対策が本当に回っているかを確かめるのが先です。一方で、従来の対策がそのまま効きにくくなっている場所もあります。文面の不自然さで見抜く訓練や、電話の声で本人を確かめる手順がそれにあたり、次の節で手口ごとに見ていきます。
総務省の白書も、悪用のリスクを新しく挙げている
総務省の「令和7年版 情報通信白書」も、生成AIをめぐるリスクとして、偽・誤情報の拡散やプライバシーの侵害などに加え、サイバー攻撃への悪用などのセキュリティのリスクが新たに指摘されているとの記述があります。同じ箇所では、攻撃が大規模で複雑になるにつれて、守る側の業務の負担が課題になっていることにも触れています。守る側の手間をどう減らすかは、後半の「AIで守る側の動き」の節で取り上げます。
※出典：IPA「情報セキュリティ10大脅威 2026」（2026年1月29日公開）、同「プレス発表」、同「情報セキュリティ10大脅威 2026 解説書［組織編］」（2026年3月）。総務省「令和7年版 情報通信白書」。IPAの資料の内容は要約して紹介しており、原文のままではありません。いずれも2026年11月3日時点で公開されている内容です。
AIを使ったサイバー攻撃の手口｜社内で起きる場面と止め方
攻撃者がAIを道具として使う手口は、主に5つに分けて考えると社内の対策に結びつけやすくなります。それぞれ、会社の中で実際に起きる場面、見分け方、止める手順の順に並べました。
1. フィッシングメール｜不自然な日本語では見分けられない
経理や総務の担当者に、取引先や通販サイト、銀行をかたるメールが届き、リンク先でIDとパスワードを入れさせようとする場面が典型です。フィッシング対策協議会によると、2026年9月に同協議会へ寄せられたフィッシングの報告は94,661件で、前月より12,323件増えました。同じ月のフィッシングサイトのURLは重複を除いて49,032件、かたられたブランドは105件で、報告全体の約33.2%がAmazonをかたるものでした。受信者の氏名が書かれたフィッシングメールも確認されていると、同協議会は報告しています。
見分け方の前提も変わってきました。同協議会の「フィッシング対策ガイドライン 2026年度版」は、生成AIを使った自然な文章や、相手ごとに作り分けたメッセージで攻撃が巧妙になり、不自然な日本語や明らかな誤りを手がかりに見分けることが難しくなったと述べています。この点の注意喚起だけでは被害を防ぎきれない状況だとも指摘しました。
文面で見抜くことを社員任せにせず、入口と手順の側で止める形に切り替えましょう。
- メールのリンクからはログインせず、よく使うサービスはブックマークや会社が配ったリンク集から開く
- IDとパスワードだけで入れるサービスを減らし、多要素認証（パスワードに加えてスマートフォンなどで確かめる仕組み）を有効にする
- 怪しいメールを開いたり入力したりしてしまったときに、すぐ報告する窓口を1つに決め、報告した社員を責めない
多要素認証は、IPAの解説書でもAIの悪用による不正アクセスやソーシャルエンジニアリング（人の心理のすきを突くだまし）を抑える対策として挙げられています。報告の窓口は、後で触れる個人情報保護委員会への報告の期限にもつながるため、最初に決めておきたい項目になります。
2. ビジネスメール詐欺とニセ社長詐欺｜送金の指示は別の経路で確かめる
社長や取引先の担当者を名乗るメールが届き、振込先の変更や急ぎの送金を求める手口です。警察庁は2026年2月13日、法人を狙ったニセ社長詐欺への注意を呼びかけています。その手口は、公開されている会社のメールアドレスに実在する社長名でメールを送り、新しいプロジェクトのためなどと言ってSNSのグループを作らせ、招待用のQRコードを返信させるところから始まります。グループの中で口座の残高を答えさせ、事業資金が至急必要だ、取引先への支払いを代行してほしいなどと言って送金させる流れで、振込の権限を持つ担当者を加えるよう指示される場合もあるそうです。
時事通信は2026年1月19日、警察庁によると前年12月中旬から1月15日までに全国で39件の相談があり、うち16件でお金がだまし取られ、被害の総額は約5億4000万円にのぼると報じました。同じ報道では、幹部と社員の距離が近い中小企業が狙われやすいとされています。
この手口はメールとSNSの文字のやり取りで進むため、文面の自然さや社長らしい口調では見分けられません。生成AIで文章を整えれば、口調を似せる手間はさらに小さくなってしまいます。止める手順は、社内の決まりとして書いておきましょう。
- 振込先の変更や急ぎの送金の指示は、メール以外の方法（登録済みの電話番号など）で本人や取引先に確かめる
- 業務の指示にSNSのグループを使うことは、社内の決まりとして認めない
- 一定の金額を超える送金や振込先の変更は、2人以上で確認してから実行する
1つ目は、IPAのビジネスメール詐欺の対策ページにある、急な振込先や決済手段の変更が起きたときは取引先にメール以外の方法で確かめるという対策と同じ考え方です。3つ目について、IPAの10大脅威の解説書は、決裁や承認の手順に複数名のチェックを規程として定め、運用を徹底することを、高度化するソーシャルエンジニアリングへの備えとして挙げています。送金の安全は、見抜く力ではなく、1人では送金できない手順で守るものになります。時事通信によると、警察庁も、ネット送金やSNSでの業務指示のルールを社内で確かめ直し、不審な命令は社長本人に確認するよう呼びかけています。
3. ディープフェイク｜声や映像だけで本人と決めない
経営者や上司の声、顔の映像をAIで作り、電話やWeb会議で送金や情報の提出を指示する手口です。2024年2月、AFP通信などは、香港の企業の財務部門の社員が、会社の関係者になりすました相手とのやり取りの末に、15回にわたって約2億香港ドル（報道では約2,600万米ドル）を送金したと報じました。同年5月には、英紙ガーディアンなどが被害企業は英国の設計・エンジニアリング会社Arupだと報じ、同社は偽の音声と映像が使われたことを認めています。
Web会議に複数の顔ぶれがそろっていても、それだけで本物と決められない点がこの事例の怖さになります。内閣官房の啓発ページも、生成AIやディープフェイクによって、人の目だけでは真偽を見極めるのが難しくなったとしています。総務省の令和6年版 情報通信白書にも、ディープフェイクの技術を使えば、実在する人物が言っていないことを話しているかのような動画を簡単に作れるとの説明があります。
止め方は、メールの詐欺と同じく手順の側に置きましょう。Web会議や電話での送金の指示も、いったん切ってから会社に登録済みの番号にかけ直して確かめ、2人以上で承認する流れに乗せてください。社内だけで通じる合言葉を決めておく方法も考えられますが、今回確かめた公的な資料には挙がっていない方法のため、送金の手順を補うものとして扱うのがよいでしょう。確認の手順の作り方はディープフェイク対策｜社長の声で送金指示が来たときの確認手順にまとめています。
4. 攻撃用プログラムの作成｜専門知識が少なくても作れてしまう
不正なプログラムや、盗んだIDとパスワードを機械的に試すプログラムを、生成AIの手を借りて作る手口です。IPAの解説書は、日本経済新聞の報道を引いて、2025年2月に中高生3人が逮捕された件を紹介しています。不正に手に入れたIDとパスワードを機械的に入力し、携帯電話の回線の契約まで進めるプログラムを使って回線を契約した疑いで、生成AIを補助的に使ってプログラムを自作したとのことです。
同じ解説書は、Google Threat Intelligence Groupの報告として、実行中に生成AIへ問い合わせて動きやコードを変える不正プログラム（PROMPTFLUXやPROMPTSTEALなど）が現れたことも取り上げています。これらは、検知を逃れるための読みにくいコードや情報を盗む命令を、その場でAIに作らせ、セキュリティソフトの検出をかわそうとするものです。社員が画面の様子で見分けるのは難しく、端末やサーバーの動きを仕組みで見張る分野になります。
会社として押さえたいのは、入口を減らすことと、入られた後の被害を小さくすることの2つです。
- パソコンやサーバーのOS、よく使うソフトの更新を後回しにしない
- 使っていないアカウントや、退職した人のアカウントを残さない
- バックアップを本番の環境から切り離して取り、実際に戻せるかを試す
いずれもAIが出てくる前から言われてきた対策ですが、解説書の結論どおり、AIで量と速さが増した攻撃にもそのまま効いてきます。
5. 弱点探しの高速化｜更新の遅れが狙われやすくなる
IPAの解説書は、英国の国家サイバーセキュリティセンター（NCSC）が、2027年にかけてAIがサイバー攻撃の脅威を質と量の両面で増やすと予測していることを紹介しています。特に、まだ修正が出ていない弱点の発見や攻撃用のコードの開発が速まり、修正プログラムが公開されてから攻撃されるまでの時間が短くなるおそれがあるとのことです。社内で言えば、VPN機器や公開しているWebサイト、問い合わせフォームの更新を「月末にまとめて」と後回しにしている間に狙われる場面になります。
外から見えている機器とサービスの一覧を作り、更新の知らせが出たら担当者と期限を決めて当てる流れにしてみてください。保守を外部に任せている場合は、緊急の更新を誰がいつ当てるのかを、契約や取り決めで確かめておきましょう。
ここまでの5つとは別に、会社が業務で使うAIそのものが狙われる手口もあります。こちらは社員の使い方と切り離せないため、次の節でまとめて取り上げます。
※出典：フィッシング対策協議会「2026/09 フィッシング報告状況」（2026年10月19日）、同「フィッシング対策ガイドライン 2026年度版」。警察庁「法人を対象とした詐欺（ニセ社長詐欺）に注意！」（2026年2月13日）。時事通信（2026年1月19日）の報道。IPA「ビジネスメール詐欺（BEC）の対策」。内閣官房「偽情報にだまされないために」、総務省「令和6年版 情報通信白書」。香港の事例はHong Kong Free Press（AFP配信、2024年2月5日）とThe Guardian（2024年5月17日）の報道。中高生の逮捕の件は、IPAの解説書が日本経済新聞の報道を出典として紹介しているものです。2026年11月3日時点で確認しています。
社員が業務で使う生成AIが入口になる｜AIを狙う攻撃と管理外の利用
攻撃者がAIを使う話とは別に、社員が業務で使う生成AIそのものが、攻撃や情報漏えいの入口になる場面があります。
プロンプトインジェクション｜AIに読ませた文書やメールに指示が仕込まれる
プロンプトインジェクションとは、AIへの指示文や、AIが読み込む文書・メール・Webページに悪意のある指示を紛れ込ませ、AIに本来とは違う動きをさせる攻撃のことです。利用者が直接打ち込む直接型と、AIが読み込む外部の情報に指示が隠れている間接型があり、IPAの解説書が新しい時代の攻撃と位置づけているのは間接型のほうになります。
社内で起きやすいのは、受信したメールや取引先から届いた資料、検索で見つけたページを、社員が生成AIに要約させる場面です。IPAの解説書は、2025年6月に報道されたMicrosoft 365 Copilotの脆弱性EchoLeakについて、外部から不正な指示が入ると、社内の秘密データなどが流出する可能性があったと紹介しています。研究者による公表では、カレンダーの招待に指示を仕込み、利用者がGeminiに予定を尋ねたときに発動させる実験も報告されました。
指示は白い文字や小さな文字、URLの末尾などに隠されるため、読ませる側の社員が気づくのは難しくなってしまいます。英国のNCSCは2025年12月、プロンプトインジェクションはSQLインジェクションのようには完全に抑えきれないかもしれないとの見方を示しています。会社で決めておきたいのは、次の3つです。
- 社外から届いたメールや資料をAIに読ませたときは、答えを判断の根拠にする前に元の文書を人が確かめる
- AIにメールの送信やファイルの変更までさせる機能は、使う人と用途を絞って有効にする
- AIが操作の確認を求めてきたら、内容を読んでから許可する
OpenAIの管理者向けヘルプによると、ChatGPT Businessでは外部のアプリとの連携が既定で有効になっており、管理者がワークスペース全体で使えるかどうかを変えられます。権限は、読む前と変更前に毎回確かめる設定や、読むのは確認なしで変更前だけ確かめる設定などから選べるとされています。管理者の画面で一度この設定を開き、既定のままになっていないかを確かめてみてください。具体的な設定と社内ルールはプロンプトインジェクション対策｜AIを使う会社の設定と社内ルールで整理しています。
管理外の生成AI（シャドーAI）｜会社から見えない利用が漏れる経路になる
シャドーAIとは、会社が承認・管理していない生成AIを、社員が自分の判断で業務に使うことを指します。IPAの解説書は、職場でAIサービスが用意されていない場合などに、社員が個人で使っているAIを業務に使うことがあり、持ち出しが禁じられたデータを入力すれば情報漏えいにつながると書いています。あわせて、個人のアカウントでの業務利用を職場が把握できないことも、リスクに挙げました。
実態を示す調査もあります。Gartnerが2026年2月に実施した日本のエンドユーザー調査（同社2026年6月18日発表、対応状況の質問はn=414）では、シャドーAIを把握できていない企業が43%、把握しているが有効な対策を取れていない企業が30%で、合わせて73%が有効に管理できていませんでした。同じ調査（n=449）では、IT部門が選んだもの以外の生成AIを部門が使うことを、自由に認める企業が8%、審査のうえで認める企業が67%となっています。社内での使われ方を確かめる手順はシャドーAI（野良AI）の検知｜専用ツールなしで見つける手順が参考になります。
IPAの解説書は、海外のITニュースサイトThe Hacker Newsの記事を出典に、米国のAI企業の調査として、業務で生成AIにデータをコピー＆ペーストして入力している利用者が77%おり、そのうち82%が組織に管理されていないアカウントによるものだったという数字も引用しています。調査名や母数は解説書に書かれていないため、傾向を示す参考の数字として受け止めるのがよいでしょう。
禁止するだけでは、会社から見えない利用が残ってしまいます。IPAの解説書も、経営者層の対策として、未許可のAIサービスの利用を禁じることと並べて、シャドーAIを避けるためのAIサービス利用の検討を挙げています。社員が業務で使うAIを、会社が契約し、設定とログを見られる環境に集めることが、この経路を細くする現実的な手になります。
使う場所が社員ごとに散らばるほど、学習の設定もログも追えなくなってしまいます。UPGEAR AI（アップギアAI）は、ChatGPT・Claude・Gemini・Perplexityを1つの契約で使える法人向けサービスです（人数無制限）。
攻撃の高速化・自動化とAIエージェント｜公表された事例
AIエージェントとは、目的を与えると、次に何をするかをAI自身が判断しながら、複数の手順を続けて進める仕組みのことです。攻撃にこれが使われると、人が1つずつ手を動かしていた工程がつながり、攻撃の速さと数が増えることになります。
Anthropicが発表した、AIが大部分を進めたサイバー諜報活動
Anthropicは2025年11月13日、同社のClaude Codeが悪用されたサイバー諜報活動を検知し、止めたと発表しました。同社によると、2025年9月中旬に不審な活動を検知し、中国の国家が支援するグループと高い確度で評価した攻撃者が、世界の約30の標的への侵入を試み、少数のケースで成功したとしています。標的には大手テック企業、金融機関、化学メーカー、政府機関が含まれていたとのことです。
同社の評価では、攻撃全体の80〜90%をAIが担い、人が関わったのは1回の攻撃あたり4〜6か所ほどの重要な判断の場面だけだったとされています。この数字は同社自身の発表によるもので、第三者が検証したものではない点に注意が必要になります。IPAの解説書もこの件を取り上げ、偵察や弱点の発見、認証情報の窃取、データの分析といった一連の工程の80〜90%をAIが自律的に実行したと紹介しています。会社として受け止めたいのは、攻撃の手間が減るほど、同時に狙われる会社の数が増えうるという点でしょう。
国内でも観測された、人手とは考えにくいアクセス
サイバーセキュリティクラウドは2026年10月9日、JPCERT/CCとマクニカの公開情報に同社の観測データを突き合わせたレポートを発表しました。同じとみられる攻撃者が約40分間で326のIPアドレスを使い分け、1,200件を超えるアクセスを複数回繰り返し、SQLインジェクションによる認証の回避や情報の窃取の可能性を探っていたとしています。アクセス量は人手とは考えにくい一方で、ツールに特有の機械的な規則性がなく、応答を見ながら手を変えていたことから、同社はAIなどが使われている可能性があるとの見方です。
同社は、こうした攻撃の痕跡を見つけるには、通常と違うHTTPレスポンスコードやレスポンスサイズの偏りに注目したログの調査が有効だとしています。自社のWebサイトや問い合わせフォームを外部に任せている場合は、こうしたログを誰が見られるのかを委託先に聞いておくと安心できます。
AIサービスそのものの設定ミスと、存在しない部品名
AIを使ったサービスも、土台の設定ミスや認証の不備といった昔ながらの弱点から狙われます。IPAの解説書は、DeepSeekのデータベースや、AIコンパニオンアプリのメッセージ基盤が認証なしでインターネットに公開され、機密データが流出した事例が報告されていると紹介しています。
社内でAIにプログラムを書かせる場面にも、注意したい点があります。AIがコードを作るときに存在しない部品（パッケージ）の名前を出してしまう誤りを悪用した、サプライチェーン攻撃の実例をKoi Securityが報告していると、IPAは紹介しています。AIが提案した部品をそのまま入れず、名前と提供元を確かめてから使う決まりにしておきましょう。
AIブラウザやエージェント機能を社員が使うとき
Webページを読み、操作まで代わりに進めるAIブラウザやエージェント機能にも、特有の弱点が報告されています。IPAの解説書は、URLの末尾に悪意のある命令を隠すHashJackという手法を、Cato Networksが見つけたと紹介しました。競合のブラウザを開発するBraveは2025年8月、Perplexityのブラウザ「Comet」にページの要約を頼むと、ページ内の隠れた指示に従ってメールアドレスやワンタイムパスワードを読み取り、外部に送ってしまうデモを公表しています。Braveは、Perplexityが修正した後も完全には緩和されていないと追記しており、これは競合する会社の見方として受け止める必要があります。
OpenAIはエージェント機能を使う人への注意として、仕事に必要なデータや認証情報にだけアクセスさせることや、確認を求められたら内容をよく確かめることを挙げています。機密性の高いサイトでは動作を見守り、指示はできるだけ明確に出すよう勧めている点も、社内ルールにそのまま使えるでしょう。Anthropicも、Claude in Chromeを使うときは信頼できるサイトから始め、すべての操作を確かめたい場合は手動で承認する設定に切り替えるよう案内しています。社員にこうした機能を使わせるときは、使ってよいサイトと、AIに任せてよい操作の範囲を先に決めておきましょう。
※出典：Anthropic「Disrupting the first reported AI-orchestrated cyber espionage campaign」（2025年11月13日・同社発表）。約30の標的、80〜90%、4〜6か所の判断の場面は同社の発表と評価によるものです。サイバーセキュリティクラウド「国内で相次ぐ不正アクセス、AIエージェントによる攻撃の可能性」（2026年10月9日・同社発表）。同社はAIなどが使われている可能性を示しており、AIによる攻撃と断定してはいません。DeepSeekなどの事例、Koi Securityの報告、HashJackは、IPAの解説書［組織編］の紹介によります。Cometの件はBraveの公式ブログ（2025年8月20日・競合ブラウザ企業の公表）、エージェント機能の注意点はOpenAI「プロンプトインジェクションの理解」によります。2026年11月3日時点で確認しています。
国・公的機関の動き｜IPA・総務省・警察が出している情報
国や公的機関は、AIを使った攻撃と社員のAI利用の両方について、資料や注意喚起を出しています。会社の規模を問わず読めるものが多いので、社内ルールを作るときの根拠として使ってみてください。
IPAの解説書が挙げる対策
IPAの10大脅威の解説書［組織編］には、AIの利用をめぐるサイバーリスクへの対策が、経営者層と、システム管理者・従業員に分けて並んでいます。経営者層に向けた主な項目は次のとおりです。
- 未許可・未認可のAIサービスの利用の禁止と、シャドーAIを避けるためのAIサービス利用の検討
- AIサービスの利用規定の整備、個人アカウントでの業務利用の制限、入力データを学習の対象から外す設定の徹底
- AIサービスを契約するときの約款の確認と、トラブルに備えた専門家・相談窓口の確保
- 決裁や承認の手順への、複数名によるチェックの規程化
システム管理者や従業員に向けては、通信ログやCASB（クラウドサービスの利用状況を見える化する仕組み）などを使ったAIサービスの利用状況の把握、多要素認証の徹底、社内の秘密情報を安易に入力しないことなどが挙げられています。これらはIPAが示す対策の例で、法律で義務づけられたものではありません。
総務省のガイドラインと分科会の資料
総務省の「AIのセキュリティ確保のための技術的対策に係るガイドライン」（令和8年3月）は、主な脅威としてプロンプトインジェクション攻撃とDoS攻撃を挙げています。想定する読者はAIの開発者や提供者なので、AIを使う側の会社は、サービスを選ぶときの確認項目として読むと役に立ちます。総務省のAIセキュリティ分科会（2025年10月9日）には、三井物産セキュアディレクションが、プロンプトインジェクションの対策をAIの内部・入口・出口の3つに分けて組み合わせる考え方を示した資料を出しており、これは総務省の公式見解ではなく提出した会社の資料になります。
警察庁・警視庁の注意喚起
警察庁は2026年2月13日にニセ社長詐欺への注意を呼びかけ、SNSのグループに誘導されたら通報機能で通報してから速やかに退出することや、相談の窓口として#9110を案内しました。警視庁のサイバーセキュリティ対策本部は2026年5月12日、公式Xで、会社が管理していないAIを業務で使うシャドーAIへの注意を呼びかけています。ITmediaの報道によると、投稿に添えられた図では、情報漏えい、著作権侵害、もっともらしい誤りを出すハルシネーションの3つのリスクが挙げられていました。2026年8月7日には、警察庁や金融庁、総務省など7つの府省庁が、GoogleやLINEヤフーなどデジタル広告のプラットフォーム5社に、なりすまし詐欺の広告への対策の強化を要請したと報じられています。社内でシャドーAIへの対応を点検するときは、シャドーAIへの警視庁の注意喚起｜会社が満たすことの点検表も使えます。
※出典：総務省「AIのセキュリティ確保のための技術的対策に係るガイドライン」（令和8年3月）、総務省 サイバーセキュリティタスクフォース AIセキュリティ分科会（第2回）資料「プロンプトインジェクションの対策」（三井物産セキュアディレクション提出）。警視庁の投稿の3つのリスクはITmediaの報道（2026年5月12日）によります。7府省庁の要請はInternet Watchの報道（2026年8月7日）によります。2026年11月3日時点で確認しています。
AIで守る側の動き｜AIを使った防御・検知と、その限界
守る側も、AIを使って攻撃を見つけ、止める仕組みを取り入れ始めています。総務省の白書が触れているとおり、攻撃が大規模で複雑になるほど守る側の負担は増えるため、見張りの一部を機械に任せる流れは自然なものでしょう。
AIサービスに組み込まれた防御
Microsoftは、Microsoft 365 Copilotで、脱獄やクロスプロンプトインジェクション攻撃（XPIA）を見分ける分類器を使い、危険度の高い指示をモデルの実行前に止める助けにしていると説明しています。同社は、この分類器がすべての場面で使えるとは限らないとも明記しました。Microsoft Defender for Office 365 プラン2は、受信メールに含まれるプロンプトインジェクションの内容を、利用者やAIアシスタントに届く前に検出するとされています。
Googleは、Geminiに対する間接プロンプトインジェクションへの多層防御として、内容の分類や、マークダウンの無害化とURLの除去、利用者による確認の仕組みなどを挙げました。Anthropicは、ブラウザで動くClaude in Chromeについて、読み込む信頼できない内容をすべて走査する仕組みなどを説明しました。同社の社内テストでは攻撃の成功率を0.08%未満に下げたとしていますが、これは同社自身の数字になります。
AIの防御だけに頼らない
こうした防御はサービスの提供元が用意するもので、会社が自分で作る必要はありません。一方で、OpenAIは自社のヘルプで、こうした対策は外部のアプリやプロンプトインジェクションのリスクをなくすものではないと書いています。会社として出来るのは、防御が備わったサービスを選び、社員がばらばらのサービスを使わないようにすることになります。守りの仕組みが入ったサービスでも、社員が管理外のAIを使えば、その防御は届きません。次の節からは、会社が自分で決めて動かす対策を、優先する順に並べていきます。
※出典：Microsoft Learn「Microsoft 365 Copilot のデータ、プライバシー、セキュリティ」「プロンプトに対する多層防御」、Google Workspace 管理者ヘルプ「間接プロンプト インジェクションと Gemini に対する Google の多層防御戦略」、Anthropic「Use Claude in Chrome safely」、OpenAI「Admin controls, security, and compliance for plugins and apps」。各社の防御の内容と数値は各社の説明（自己申告）によるもので、第三者が検証したものではありません。カレンダー招待の件はSafeBreachの研究者の公表（2025年8月6日）、プロンプトインジェクションの見方は英国NCSC「Mistaking AI vulnerability could lead to large-scale breaches」（2025年12月10日）によります。2026年11月3日時点で確認しています。
会社がとる対策｜優先順位は基本の締め直しから
IPAの解説書の結論に沿えば、会社の対策はAI専用の何かを足すより先に、従来の対策を速く確実に回せているかを確かめるところから始まります。情報システムの専任が少ない会社でも回せるよう、手を付ける順に並べました。
1. お金と権限が動く手順を、1人で完結させない
最初に決めたいのは、送金と振込先の変更、取引先の口座情報の登録を、1人では完結できない手順にすることです。IPAの解説書が挙げる決裁・承認の複数名チェックは、メールの詐欺にもディープフェイクにも同じように効く対策になります。金額の線引き、確認する2人目の役職、メール以外で確かめる方法の3つを規程に書き、関係する社員に周知してみてください。
2. ログインを多要素認証にそろえる
メールやクラウドのストレージ、会計や給与のクラウドサービス、生成AIのアカウントまで、業務で使うサービスのログインを多要素認証にそろえましょう。フィッシングでパスワードが盗まれても、それだけでは入られない状態を作るのが目的です。共有アカウントや使われていないアカウントが残っていないかも、あわせて洗い出しておくと安心できます。
3. 外から見える機器とソフトの更新を、期限つきで回す
VPN機器やWebサイト、メールサーバーなど、インターネットから見える場所の一覧を作り、更新の担当者と期限を決めます。弱点の公表から攻撃までの時間が短くなるおそれがあるというIPAの紹介を考えると、月に1回まとめて当てる運用では間に合わない場面も出てきそうです。委託先が保守している機器は、夜間や休日の緊急の更新をどう扱うかを、契約で確かめておきましょう。
4. バックアップと、気づいたときの連絡網
ランサム攻撃は10大脅威の組織編で1位にあり、AIの話題とは別に、まず備えておきたい脅威になります。バックアップは本番の環境から切り離して保管し、実際に戻せるかを定期的に試してみてください。怪しいメールに入力してしまった、AIに入れてはいけない情報を入れてしまったという報告を受ける窓口と、経営者まで上げる連絡の順番も、紙1枚に書いておきましょう。
5. 社員の教育は、見抜き方より手順を伝える
社員向けの教育では、不自然なメールの見分け方を教えるより、決まった手順を守ることと、迷ったら報告することを繰り返し伝えるほうが、今の手口には合っています。IPAの解説書は、社内の秘密情報を安易に入力しないこと、AIが指示どおりの結果を出すとは限らずハルシネーションがあること、AIに頼りすぎないことを教育の項目に挙げました。年に1回の研修だけで終わらせず、新しい手口の注意喚起が出たときに短く共有する形のほうが続けやすいでしょう。
部署ごとに、狙われる場面と決めておくこと
同じ対策でも、部署によって狙われる場面は違います。社内で担当を分けるときの目安として、場面と決めておくことを部署ごとに書き出してみましょう。
- 経理：振込先の変更や急ぎの送金の依頼が届く場面で、金額の線引き、2人目の確認者、メール以外での確認方法を決めておく
- 総務・人事：社員のアカウントの発行と停止、退職者のアカウントの削除を受け持ち、生成AIのアカウントも同じ流れで止める
- 営業・企画：取引先の資料やメールを生成AIに要約させる場面が多いため、入れてよい情報の区分と、AIの答えを元の資料で確かめる手順を守る
- 経営者：社長の名前で送金や情報の提出を求める連絡が来たときに、社員が本人に確かめやすい空気を作り、SNSで業務の指示をしない方針を示す
- 情報システムの担当（いなければ委託先）：外から見える機器の更新、多要素認証の設定、生成AIの利用ログの確認を受け持つ
経営者の役割は見落とされやすいところですが、ニセ社長詐欺もディープフェイクも、社長の名前を使うことで確認を省かせようとする手口になります。社長自身が「自分からの急な送金の指示は、必ず確かめてから動いてほしい」と社内に伝えておけば、担当者は迷わず確認に回れます。IPAの解説書が、決裁・承認のチェックの強化を経営者層の対策に置いているのも、こうした手口への備えとして読めるでしょう。
会社で安全に生成AIを使うには｜学習させない設定・ログ・配布・使い分け
社員が業務で使う生成AIを会社の管理下に置くには、学習させない設定、ログの管理、社員への配布、複数のAIの使い分けの4つをそろえて考えることになります。どれか1つが欠けると、社員が会社の外のAIに戻る理由が残ってしまいます。
入力したデータを学習に使わせない設定
IPAの解説書は、外部のAIサービスを使うときに、入力したデータを学習の対象から外すオプトアウト設定を徹底することを、経営者層の対策に挙げています。法人向けのプランでは、既定で学習に使わないと定めている例があります。OpenAIは管理者向けのヘルプで、ChatGPT Business・Enterprise・Eduのワークスペースの内容を、既定ではモデルの学習に使わないと説明しています。個人のアカウントでは、この設定が社員一人ひとりの操作に任されてしまうため、会社の契約に寄せることが近道になります。
入れてよい情報を3つに分けて決める
学習の設定が整っていても、何を入れてよいかの線引きがないと、社員は迷ったまま使うことになってしまいます。社内ルールでは、情報を次の3つに分けておくと判断が速くなります。
- そのまま入れてよい情報：公開済みのWebサイトの文章、一般的な質問、社外に出しても困らない下書き
- 会社が契約したAIでだけ扱う情報：社内の会議メモ、社内向けの資料、取引先名を伏せた相談
- 入れてはいけない情報：取引先から秘密として預かった資料、未公開の決算や人事の情報、パスワードや認証の情報
個人データの扱いは、会社の個人情報の取り扱いの決まりと合わせて決めましょう。境目で迷う情報は、その都度の判断にせず、総務や情報システムの担当に聞く窓口を1つにしておくと運用が回ります。
ログを会社が見られる状態にする
IPAの解説書は、通信ログやCASBなどを使ってAIサービスの利用状況をつかみ、管理されていないAIサービスの利用を把握することを、システム管理者の対策として挙げています。Gartnerも、前に触れた2026年6月18日の発表で、採用時の審査と許可、利用中のモニタリング、定期的な棚卸しの3つのステップで運用することを勧めました。ログで見たいのは、誰が、いつ、どのAIを使ったかと、入力してはいけない情報が入っていないかの2点になります。ログを見る担当者と見る頻度を決めておかないと、取っているだけのログになってしまいます。
契約の前に、約款と設定の既定値を確かめる
IPAの解説書は、AIサービスを契約するときの約款の確認も、経営者層の対策に挙げています。料金や機能の比較表だけで決めず、次の点を約款や管理者向けの説明で確かめてから契約しましょう。
- 入力した内容や会話の履歴を、提供元が学習に使うかどうかと、その既定値
- 会話の履歴やログが、どの国のどの事業者のもとに保管されるか
- 管理者が利用の記録を見られるか、社員のアカウントを止められるか
- 外部のアプリとの連携やエージェント機能が、既定で有効になっていないか
- 利用量や料金の上限を超えたときに、止まるのか追加で請求されるのか
外部のアプリとの連携は、先に触れたChatGPT Businessのように既定で有効なものもあり、契約した日の設定のまま使い続けると、会社が意図しない範囲までAIが読みに行く状態になりかねません。Google Workspaceでも、GeminiアプリからWorkspaceのアプリへの接続は既定でオンになっており、組織部門やグループごとに変えられると案内されています。最初に管理者の画面を一通り開き、既定値を自社の方針に合わせて書き換えるところから始めてみてください。
社員に配る｜一部の人だけに渡さない
生成AIのアカウントを一部の社員にしか配らないと、配られなかった社員が個人のアカウントで使い始める余地が残ります。IPAの解説書が、職場でAIサービスが用意されていない場合をシャドーAIの起きる例に挙げていることとも重なる話です。配るときは、入れてよい情報の区分を短い社内ルールにして、一緒に渡しましょう。ルールのひな形は生成AIガイドラインのサンプル｜無料Wordと作り方で公開しています。
複数のAIを、契約を分けずに使い分ける
ChatGPT・Claude・Gemini・Perplexityは得意な仕事が少しずつ違うため、社員は用途に合わせて使い分けたくなります。ところが、AIごとに別々に契約すると、学習の設定、アカウントの発行と停止、ログの確認を、契約の数だけ繰り返すことになってしまいます。Gartnerは、全社標準としてIT部門が一貫して管理するAI、部門ごとに審査して使うAI、認定された人だけに認める個人利用のAIの3つに分ける考え方を示しています。同社は、個人利用のAIはリテラシーとリスク感覚に優れた社員が多い会社に限り、慎重に入れるべきだとも述べました。
社員10〜200名の会社なら、まず全社で使う環境を1つ決め、その中で複数のAIを切り替えられる形を選ぶと、設定とログを見る場所が1か所にまとまります。AIの数だけ契約と管理画面を増やすと、点検の漏れもその数だけ増えてしまいます。4つのAIの得意分野は主要4AIの違いと使い分けにまとめています。
※出典：ガートナージャパン「Gartner、国内企業の「シャドーAI」対応における新たな指針を発表」（2026年6月18日）。調査はGartnerが2026年2月に実施した日本のエンドユーザー調査（n=449／n=414）で、同社の自社調査です。77%・82%は、IPAの解説書がThe Hacker Newsの記事を出典に、米国のAI企業の調査として引用している数字（IPA自身の調査ではありません）。学習利用とアプリ連携の既定の扱いはOpenAIの管理者向けヘルプ、GeminiアプリとWorkspaceのアプリの接続の既定値はGoogle Workspace 管理者ヘルプの記載によります。2026年11月3日時点で確認しています。
明日からの点検手順｜30日で社内の守りを確かめる
ここまでの対策を、明日から30日で一回りできる手順に並べ直しました。1人で全部を担わず、経営者と総務・経理、情報システムの担当で分けて進めてみてください。
- 1日目 送金と振込先変更のルールを確かめる金額の線引き、2人目の確認者、メール以外での確認の方法が規程に書かれているかを、経理の担当者と読み合わせます。書かれていなければ、この日に案を作ります。
- 2〜5日目 業務で使うサービスとアカウントを書き出すメール、ファイルの保管、会計、給与、生成AIまで、使っているサービスと管理者を一覧にします。退職した人や使われていないアカウントもここで洗い出します。
- 6〜10日目 多要素認証を有効にする管理者のアカウントから順に有効にし、次に全社員へ広げます。設定できないサービスは一覧に印を付け、代わりの手を考えます。
- 11〜15日目 外から見える機器とサイトの更新を確かめるVPN機器、Webサイト、問い合わせフォームの最後の更新日と担当者を確かめます。委託している場合は、緊急の更新の取り決めを委託先に聞きます。
- 16〜20日目 社員が使っている生成AIを把握する短いアンケートや通信のログで、業務に使われているAIと、個人のアカウントでの利用を洗い出します。責めるためではなく、移す先を決めるための調査だと伝えます。
- 21〜25日目 会社で使う生成AIを決めて配る学習させない設定、ログの確認、入れてよい情報の区分をそろえた環境を決め、社員に配ります。外部アプリとの連携など、既定の設定も見直します。
- 26〜30日目 報告の窓口と連絡の順番を全社に伝える怪しいメールへの入力や誤った入力に気づいたときの窓口、経営者までの連絡の順番、個人情報保護委員会への報告の期限、警察の相談先を1枚にまとめて配ります。
30日で終わりにせず、四半期に1回は同じ項目を見直す日を予定に入れておきましょう。点検の項目をさらに細かく見たい場合は、生成AIセキュリティチェックリスト30項目｜確かめ方と優先順位も使えます。
被害に気づいたときの動き｜報告の期限と相談先
被害に気づいたときは、被害を広げない手当て、記録を残すこと、報告と相談の3つを同時に進めます。
最初にやること
- 怪しいリンクに入力したアカウントのパスワードを変え、ほかのサービスで同じパスワードを使っていれば、そちらも変える
- 不審な送金をしてしまった場合は、すぐに振込先と自社の金融機関に連絡する
- 不審なメールやSNSのやり取り、画面の記録は消さずに残す
- 社内で決めた窓口に報告し、経営者まで上げる
振り込め詐欺救済法（2008年6月21日施行）には、犯罪に使われた口座に残っているお金を被害者に支払う手続きがあり、申請の窓口は振込先の金融機関になります。支払われる額は口座の残高や被害者の数で決まり、残高を超えては支払われないため、気づいたらすぐに連絡するのが大切です。
個人データが漏れたおそれがあるとき｜速報は概ね3〜5日以内
個人データの漏えいやそのおそれがあり、次の4つのどれかに当たるときは、個人情報保護委員会への報告が必要になります。
- 要配慮個人情報が含まれる個人データの漏えい
- 不正に使われると財産的な被害が生じるおそれがある個人データの漏えい
- 不正の目的で行われたおそれがある、会社に対する行為による個人データの漏えい
- 本人の数が1,000人を超える個人データの漏えい
AIを使った攻撃で社内に入られ、顧客の情報が持ち出されたおそれがある場合は、3つ目に当たる可能性があります。一方で、社員が生成AIに個人データを入力したことが、そのまますぐに報告の義務になるわけではなく、4つのどれかに当たるかどうかで判断します。
報告は速報と確報の2段階です。委員会のガイドライン（通則編）は、速報の目安を、事態を知った時点から概ね3〜5日以内としています。確報は知った日から30日以内、不正の目的によるおそれがある場合は60日以内で、この日数には土日・祝日も含まれます。期限の起点となる知った時点は、法人の場合、いずれかの部署が知った時点とされています。現場の担当者が気づいた日から数え始めるため、社内で報告が止まると期限だけが進んでしまいます。速報では、その時点で分かっている内容を報告すればよいとされているので、全部がそろうのを待たずに出すのが基本になります。
速報で報告する項目は、概要、漏えいした個人データの項目、本人の数、原因、二次被害のおそれの有無と内容、本人への対応の状況、公表の状況、再発防止の措置、その他参考となる事項の9つです。社内で事故の記録を取るときも、この9つの項目に沿って書き始めると、報告にそのまま使えます。
AIに入れてはいけない情報を入れてしまったとき
社員から、入れてはいけない情報を生成AIに入力してしまったと報告があったときは、まず事実を記録しましょう。記録するのは、入力した内容、日時、使ったサービスの名前、会社が契約したアカウントか個人のアカウントか、の4点です。会社が契約したサービスであれば、管理者の画面で設定や利用の記録を確かめやすくなります。個人のアカウントだった場合は、会社から設定を確かめる手段が限られてしまいます。
入力した情報に個人データが含まれていれば、先ほどの4つの場合に当たるかを確かめ、当たるおそれがあれば速報の期限から逆算して動いてください。報告した社員を責めると次から隠されやすくなるため、早く報告したことを評価する姿勢を社内で示しておくのがよいでしょう。ChatGPTの会話履歴の見方と会社での管理は、ChatGPTの履歴｜見方・削除・保存期間と会社での管理で紹介しています。
警察への相談
都内の会社であれば、警視庁の「サイバー事案に関する通報・相談・情報提供窓口」のページにある電話相談窓口（03-5805-1731、平日の午前8時30分から午後5時15分まで）に相談できます。ただし、この電話窓口では被害届は出せず、通報や相談、情報提供は警察庁のWebサイトのオンライン受付窓口を使うよう案内されています。ほかの道府県の会社向けには、各道府県警察のサイバー犯罪相談窓口が一覧で案内されているので、自社の地域の窓口を前もって控えておきましょう。ニセ社長詐欺のようにSNSへ誘導された場合は、警察庁が案内している#9110も使えます。
※出典：個人情報保護委員会「漏えい等の対応とお役立ち資料」、同「個人情報の保護に関する法律についてのガイドライン（通則編）」。確報の30日目・60日目が土日・祝日・年末年始閉庁日（12月29日〜1月3日）にあたる場合は、その翌日が期限です。警視庁「サイバー事案に関する通報・相談・情報提供窓口」。全国銀行協会「振り込め詐欺救済法とは」。2026年11月3日時点で確認しています。
社員が使う4つのAIを、会社の管理下で使い分ける
UPGEAR AI（アップギアAI）は、ChatGPT・Claude・Gemini・Perplexityを1つの契約で、会社の管理下で使い分けられる法人向けサービスです。管理者ダッシュボードで利用ログ・権限・モデルのON/OFFを管理でき、基盤はAWSの日本リージョンで稼働しています。料金は月額30,000円（税抜）から。どのプランも利用人数は無制限で、料金は利用量に応じたプラン設計です（人数の目安はライト1〜5名、スタンダード6〜20名、プレミアム21〜50名）。
UPGEAR AIの詳細を見るよくある質問
AIを使ったサイバー攻撃とは何ですか？
AIを使った攻撃には、AI専用の対策製品が必要ですか？
AIで作られたフィッシングメールは見分けられますか？
社長からの送金指示がWeb会議や電話で来たら、どう確かめればよいですか？
社員が生成AIに顧客情報を入力したら、必ず個人情報保護委員会に報告が必要ですか？
生成AIの利用を全面的に禁止すれば安全ですか？
まとめ
AIを使ったサイバー攻撃は、フィッシングやビジネスメール詐欺、ディープフェイク、攻撃用プログラムの作成、弱点探しといった従来の攻撃を、速く大量にこなせるようにしたものが中心です。IPAの解説書がまとめているとおり、大部分には従来の対策が効くため、送金を1人で完結させない手順、多要素認証、更新、バックアップを先に固めることになります。
新しく加わったのは、社員が業務で使う生成AIそのものが入口になる点です。プロンプトインジェクションと管理外のAI利用に備えるには、使うAIを会社で決めて社員全員に配り、学習させない設定とログを会社が見られる環境に集めることが近道になります。被害に気づいたときに期限だけが進まないよう、報告の窓口も今のうちに決めておきましょう。
生成AIのセキュリティ全体の考え方はAIセキュリティとは？AIを守る・AIで守ると会社が決めること、関連するコラムはAI活用コラム一覧にまとめています。