2026年9月3日から7日にかけて、日本語のセキュリティ媒体が報じたAI関連の事件は次の3件でした。発生した時期はそれぞれ違いますが、報じられたタイミングがこの5日間に重なりました。

「AIのセキュリティ問題」と一括りにされがちですが、この3つはまったく別の問題です。①は電話に出る人の話、②はネットワークの守りの話、③は社内ルールの話。守るべき場所も、担当する部署も違います。

ITmediaエンタープライズが9月3日に報じたのは、企業の社長の声をAIで複製し、経理担当者に電話をかけて不正送金を指示するという手口です。見出しに示された被害額は45億円。元警視庁の専門家が手口を解説する、という構成の記事でした。

なぜ引っかかってしまうのか

この種の詐欺が成功する条件は、複数のセキュリティ企業の解説でおおむね共通しています。①発信者番号の表示が本物の社長の携帯番号だった（番号は比較的かんたんに偽装できます）、②声が本人そっくりだった、③「緊急だ」と急かされた——この3つが揃うと、本人確認の手順が飛ばされます。

声を複製する技術（ボイスクローン）は、いまでは数十秒の音声サンプルがあれば実用的な品質になります。社長や役員の声は、決算説明会・採用動画・セミナーの録画・YouTubeなど、公開された場所にいくらでもあるのが実情です。つまり「音源が手に入りにくいから安全」という前提は、すでに崩れています。

世界でも同じ週に起きていた

この事件が日本語で報じられた5日後、HelpNetSecurityは9月8日に「ITヘルプデスクを装った音声詐欺が経営層をだまし、Microsoft 365へのアクセスを渡させた」と報じています。だます相手が経理担当か経営層か、目的が送金かアカウント乗っ取りかの違いはありますが、「電話越しの声で信用させる」という構造は同じです。

米Palo Alto Networksの脅威調査チーム「Unit 42」が9月2日に公表した調査報告を、国内では9月4日にpiyologが日本語でまとめました。内容は、攻撃者がAIに実際の侵入作業をやらせた事案の分析です。

報告によれば、攻撃者はフロンティアAIモデル（最新世代の高性能AI）と、攻撃専用に作られたエージェント型AIフレームワークを使ったと、身代金交渉の場で自ら語っています。エージェント型AIとは、指示を受けて自分で手順を考え、道具を使い、次の行動を決めるタイプのAIのことです。

10時間と2週間の差

この攻撃で使われた技術そのものは、50種類を超えるMITRE ATT&CK（攻撃手法を整理した世界共通の分類表）に載っている既知の手法でした。新しいゼロデイ（未知の弱点）は使われていません。それにもかかわらず——

AIエージェントたちは、それぞれ別の防御層を担当しながら共通の目標に向かって動いたと報告されています。侵入後の流れは、内部構成の把握 → ソースコード置き場からの認証情報の窃取 → 最高権限（root）の奪取 → 不正なビルドの実行 → クラウド上のAI基盤のマスターキー奪取という順でした。

3件目は、これまでの2つとは毛色が違います。攻撃されたのではなく、社員が自分で入力してしまったという事故です。

公表内容によれば、2026年8月20日、RIZAPの担当者がデータ抽出の業務中に、社内で利用を許可されていない生成AIにデータを入力していたことが判明しました。対象となったのは地方職員共済組合の14支部の組合員ら726人分です。

入力された情報の重さ

入力された内容は、氏名・生年月日・性別・メールアドレス・組合員等記号番号のほか、一部の住所や電話番号。そして特定保健指導の支援形態と、高血圧症・糖尿病・脂質異常症に関する情報が含まれていました。

最後の健康に関する情報は、個人情報保護法で「要配慮個人情報」と呼ばれる区分にあたります。本人が不利益を被るおそれが大きいため、通常の個人情報より厳しく扱うことが求められる種類のデータです。氏名やメールアドレスの流出とは重みが違います。

その後の調査では、データはサービス上から削除され、AIの学習にも利用されていないと判断されたと説明されています。ただし提供事業者による閲覧やアクセスの有無は確認中とされており、9月4日の公表時点で完全に「無かったこと」になったわけではありません。発生から公表までは15日かかっています。

「シャドーAI」という言葉

会社が認めていないAIサービスを、社員が善意で業務に使ってしまうことをシャドーAIと呼びます。悪意のある内部不正とは違い、たいていは「早く正確に仕事を終わらせたい」という真面目な動機から起きるのが特徴です。だから注意喚起だけでは止まりません。

興味深いことに、この事故が日本語で報じられたのとほぼ同じ時期、英国の国家サイバーセキュリティセンター（NCSC）も9月7日にシャドーAIが新たなセキュリティリスクを生んでいると警告を出しています。さらに9月8日には、ChatGPTの不具合を突いて仕込んだ指示文で被害者のGmailのデータを別アカウントへ送らせる攻撃手法も報じられました。「入力した情報がどこへ行くか分からない」という不安は、いま世界中で同時に扱われているテーマです。

当サイトでは日本語と英語のセキュリティ記事を並行して収集しています。今回、日本の3件と同じ週（9月7日〜9日）に世界で報じられた記事を突き合わせたところ、きれいに対応していました。しかも世界側には、日本ではまだ薄い4つ目の方向もありました。

①〜③は日本でも世界でもほぼ同時に報じられました。しかし④「AIそのものが狙われる」という方向だけは、日本では脆弱性データベースへの登録にとどまり、解説記事がほとんど出ていません。AIを開発・運用する側のリスク——つまり、自社でAIを組み込んだ製品やサービスを作っている組織にとっての話です。

3つの事件はそれぞれ守る場所が違うため、対策も分かれます。全部を一度にやろうとせず、自分の立場で最初の1つを選んでください。

とくに情報システム部門の方に強調したいのは、「禁止」より先に「棚卸し」だという点です。RIZAPの事案は「許可されていないAIに入力していた」というものでした。禁止のルール自体は先に存在していたわけです。ルールがあっても使われてしまう理由を知るには、まず実態を見るしかありません。