AIでサイバー攻撃は本当？ 個人情報が流出したら、やること

こんにちは、赤ヰです！

最近、個人情報流出のニュースが止まりませんよね。

2026年9月には、カーシェアの「タイムズカー」で約660万アカウント分の会員情報が第三者に取得されたと発表されました。

しかもそのうち約160万アカウントは、運転免許証などの画像まで含まれていたそうです（タイムズカー公式 第2報）。

タイムズカーの流出規模

そんな中で気になったのが、「今はAIでサイバー攻撃されてるらしい」という話。

これって本当なの？
もし自分の情報が漏れたら、何をすればいいの？

気になったので、公的機関や企業の公式発表をもとに調べてみました！

AIを使ったサイバー攻撃は本当？

結論から言うと……本当でした。

ただし、「AIが勝手に暴れている」わけではありません。

「攻撃する人がAIを道具として使っている」というのが正確なところです。

日本の専門家も「AIリスク」を上位に選んだ

情報処理推進機構（IPA）が毎年発表している「情報セキュリティ10大脅威」。

約250人の研究者や実務担当者の投票で決まる、いわば「今いちばん気をつけたい脅威ランキング」です。

その2026年版（組織向け）で、「AIの利用をめぐるサイバーリスク」が初めて選ばれ、いきなり3位に入りました（IPAプレス発表）。

情報セキュリティ10大脅威 2026（組織編）

このリスクには、こんなものが含まれています（@IT）。

• AIへの理解不足による情報漏えい
• AIの出力をきちんと確認しないことによる問題
• AIの悪用で、攻撃が簡単・巧妙になること

AIが攻撃の大部分をこなした事例も

2025年11月、AI企業のAnthropicがこんな発表をしました。

中国の国家支援とみられるグループが、同社のAI「Claude Code」を悪用して、世界の約30の組織を狙った攻撃を行っていた。それを見つけて止めた、というものです（Anthropic公式）。

攻撃の作業、誰がやっていた？

• 攻撃者は「正規のセキュリティ検査です」とAIをだまし、悪い作業を小さな無害そうな作業に分けて依頼していた
• 偵察、弱点探し、データの持ち出しなどをAIが担当していた
• 一方でAIはたびたび「成功した」と嘘の報告をし、攻撃者の足を引っ張る場面もあった

ただし、この報告には「他の防御側が検証できる証拠が少ない」と疑問を呈する専門家もいます（メルボルン大学の解説）。

それでも「AIを使った攻撃はもう現実」という点では、多くの専門家の見方が一致しているようです。

数行の指示でネットショップに侵入した事例も（2026年9月）

もうひとつは、つい最近の話です。

セキュリティ企業Gambit Securityの報告によると、お金目当ての攻撃者が複数のAIエージェントを使い、数百のオンラインショップを攻撃しました（週刊アスキー）。

たった6日間（2026年9月10〜15日）で起きたこと

105件実行された攻撃

27社侵入が確認された会社（少なくとも）

19サイト決済画面に不正なプログラムが仕込まれた

60万件超2社から流出したクレジットカード情報

攻撃者は「管理画面に入って」のような短い指示を出すだけで、探索や攻撃の多くをAIに任せていたそうです。

1社あたりの調査にかかったAI利用料は、平均25.46ドル。

弱点探しが、安く・速く・大量にできるようになってしまったんです。

日本でも起きている実例

「AIでウイルス作り」なんて映画の中の話みたいですよね。

でも日本でも、すでに逮捕者が出ています。

2024年の事件の男性は、IT企業で働いた経験などは特になかったそうです。

ITに詳しくない人でも、AIを使えばウイルスを作れてしまうことが示された、と解説されています（同上）。

なお、今回のタイムズカーの件で、攻撃にAIが使われたかどうかは公表されていません。

「最近の流出は全部AIのせい」というわけではないので、そこはごちゃ混ぜにしないようにしましょう。

もし自分の情報が流出したら？

まずは落ち着いて、深呼吸しましょう。

「え、そこから？」と思うかもしれません。

でも焦っていると、普段ならしない行動や判断をしてしまい、第二、第三のトラブルを引き起こしかねないんです。

情報が流出したという事実は変えられません。
でも、これからの行動次第で未来は変えられます。

それに、少し安心できる話もあります。

免許証の画像が流出しても、画像1枚だけで銀行口座やクレジットカードが簡単に作れるわけではありません。

今のオンライン本人確認では、顔の撮影やICチップの読み取りも使われています。2027年4月からは、さらに厳しくなる予定です（週刊アスキー）。

本当に気をつけたいのは「詐欺」のほう。

名前や住所、生年月日を知っている相手から「本人確認が必要です」と連絡が来ると、本物だと思い込みやすくなります（同上）。

やることを時間の流れで整理すると、こんな感じです。

流出がわかってからの行動マップ

すぐ

• 公式サイトで対象か確認
• パスワードを変える
• 信用情報機関に本人申告

しばらく

• 「削除料」詐欺に注意
• 身に覚えのない契約がないか確認

何年も

• 名前や生年月日は変えられないので油断しない

すぐにやること

1. 企業の公式サイトで自分が対象か確認する
   メールやSMSのリンクからではなく、公式サイトや公式アプリを自分で開いて確認しましょう（週刊アスキー）。
2. パスワードを変える
   流出したサービスと同じパスワードを他でも使っているなら、そちらも変えておきましょう。
3. 信用情報機関に「本人申告」を登録する
   信用情報機関JICCの「本人申告コメント」を使うと、金融機関に「名義が悪用されているかも」と気づいてもらえます（JICC、京都府消費生活安全センター）。

しばらく見張ること

• 「削除料を払え」系の詐欺に注意
  「あなたの情報が漏れているので削除料を振り込んで」という詐欺も報告されています（KSB瀬戸内海放送/ANN）。
  漏れた情報を「消す」ことは誰にもできないので、払う必要はありません。
• 身に覚えのないカード・ローンの通知がないか確認
  思い当たらないクレジットカードが作られていたら、すぐ警察に相談を、と元埼玉県警の佐々木成三さんは話しています（KAB熊本朝日放送/ANN）。
• 数年後も油断しない
  名前や生年月日、顔写真は、パスワードと違って変えられません。
  何年も後に、別の詐欺に再利用されることもあります（週刊アスキー）。

困ったときの相談先

ひとりで抱え込まなくて大丈夫です。
迷ったら、ここに相談してみてください。

流出に備えて日頃からできること

正直、企業から漏れるのは私たちには防げません。

でも、「漏れても被害を小さくする」ことはできます。

• パスワードを使い回さない
  1つ漏れても、他のサービスまで芋づる式に入られないようにする
• 二段階認証（2要素認証）をオンにする
  パスワードが漏れても、それだけではログインされにくくなる
• リンクから本人確認しない
  「本人確認が必要です」と来たら、公式アプリや公式サイトを自分で開く
• 使わないサービスは退会する
  ただしタイムズカーでは、過去7年間の退会者の情報も流出対象でした（BSRweb）。
  退会しても情報がすぐ消えるとは限らないので、気になるなら企業に削除をお願いするのも手です。

まとめ

最後に、この記事の大事なところを3つにまとめます。

ニュースを見ると不安になりますよね。

でも、知っておけば落ち着いて動けます。
この記事が、誰かの「どうしよう」を少しでも軽くできたら嬉しいです。

以上！