2026年は、大規模な情報漏洩が過去にないペースで起きています。
東京商工リサーチによると、上場企業とその子会社で100万件以上の個人情報が漏れた事故は、10月5日時点ですでに10件。2025年の1年分（6件）を上回りました。特に9月以降は公表が相次いでいます。
「うちのシステムは大丈夫だろうか」と気になりながらも、古いシステムのバージョンアップは費用も手間もかかり、先送りにしている企業は少なくありません。しかし、その「更新が止まったシステム」こそが、攻撃の入口になりやすいのです。
私たちデジタライズAIは、開発と保守のプロセスにAIを組み込む「AIネイティブ開発」で、古くなった業務システムやWebサイトの作り替えに取り組んでいます。本記事では、2026年の情報漏洩の原因と、サポート切れのシステムが狙われる理由、そしてAIを使って「更新し続けられる状態」をつくる方法を解説します。
2026年秋、情報漏洩の公表が相次いでいる
2026年9月から10月にかけて、情報漏洩の公表が相次ぎました。ITmedia エンタープライズの集計では、9月16日から10月5日までの約3週間で21の組織が漏洩を公表しています。
漏洩した（または漏洩したおそれのある）会員情報などは、各社の公表を合計すると延べ約4,370万件。カーシェアサービス、飲食チェーンのアプリ、通販サイトなど、業種もさまざまです。
※各社が公表した最大の件数を単純に合計したもので、同じ人の重複や個人を特定しないIDなども含みます。出典: ITmedia エンタープライズ（2026年10月7日）
多くは調査中で、侵入の手口や、同じ攻撃者によるものかどうかは分かっていません。ただ、原因が公表されたものを見ると、「システムの弱点を突かれた」「設定の不備で情報が外から見えていた」「委託先から漏れた」といったものが目立ちます。
どれも、更新していない、設定を見直していない、中身を把握できていないという、どの企業にも起こりうる状態です。
情報漏洩の主な原因は何か
2026年上半期の全体を見ても、傾向は同じです。デジタルアーツの集計では、1〜6月に情報漏洩などのセキュリティ事故を公表した国内の組織は727。原因の上位は次のとおりです。
| 原因 | 件数 |
|---|---|
| 不正アクセス | 267件 |
| マルウェア（ウイルス）感染 | 153件 |
| 業務外利用・不正持ち出し | 55件 |
※出典: デジタルアーツ「2026年上半期 国内セキュリティインシデント」集計（2026年7月28日）。公開報告書と報道をもとにした民間企業の独自集計です。
不正アクセスとマルウェア感染、つまり外部からの攻撃だけで約6割を占めます。委託先が攻撃され、そこに業務を任せていた複数の会社に被害が広がる「連鎖」も主な要因とされています。
誤送信などの人為的なミスや、前年同期の3.7倍に増えた内部の持ち出しにも備えが必要ですが、本記事では最も多い「外部からの攻撃」の入口に絞って見ていきます。
情報漏洩の入口になる「サポート切れ」のシステム
次のうち、ひとつでも当てはまるものはありませんか？
- Webサイトや業務システムが、何年前に作られたものか把握していない
- サーバーやOS、システムの土台になっているソフトのサポート期限を知らない
- サポートが切れていると聞いたが、更新の見積もりが高くて保留にしている
- システムの中身が分かるのは、作った会社か特定の担当者だけ
- 「動いているから大丈夫」と、何年も手を入れていない
OSや、Webサイト・業務システムの土台となるソフト（フレームワークと呼ばれます）には、あとから弱点が見つかることがあります。この弱点を「脆弱性（ぜいじゃくせい）」と呼びます。提供元は弱点が見つかるたびに修正版を配り、利用者はそれを当てて安全を保っています。
ところがサポートが終わると、新しい弱点が見つかっても修正版は出ません。IPA（情報処理推進機構）も、サポートが終わった製品を使い続けると、情報漏洩などの危険が高まると注意を呼びかけています。
たとえるなら、メーカーが「この鍵には欠陥がある」と公表したのに、もう修理も交換もしてくれない玄関です。攻撃する側は、その鍵を使っている家を探して狙うことができます。
IPAの「情報セキュリティ10大脅威 2026」でも、組織向けの1位は「ランサム攻撃による被害」、4位は「システムの脆弱性を悪用した攻撃」です。
ランサム攻撃とは、データを使えなくして身代金を要求する攻撃で、最近は盗んだデータを「公開する」と脅す手口もあり、情報漏洩に直結します。その入口になりやすいのが、弱点が直されていない機器やシステムです。
なぜバージョンアップできないのか
更新が止まっているのは、担当者が怠けているからではありません。多くの場合、「更新したくてもできない」事情があります。
一部の更新が、全体の改修になってしまう
長く使われてきたシステムは、その時々の要望に合わせて改修が重ねられています。土台のソフトだけを新しくしようとしても、上に積み重なった機能が新しい土台では動かず、結果として大部分を直すことになりがちです。「バージョンアップ」の見積もりが、作り直しに近い金額になるのはこのためです。
中身が分かる人が限られている
仕様書が残っていない、作った担当者がもういない。そんな状態では、どこを直せば何に影響するのかを調べるところから始まり、頼める先も作った会社に限られます。外注そのものが悪いわけではありませんが、中身が分かる人が限られるほど、更新の費用は高くなりやすいのが実情です。
そこに「業務を止められない」「今は動いている」という事情が重なり、次のようなサイクルができあがります。
サポート終了を知る → 見積もりを取る → 高額で保留 → そのまま放置 → 攻撃の入口になる
古いシステムが「変えられない」状態になる仕組みは、レガシーシステムをAIで刷新｜業務を止めずに新システムへ載せ替える「AIネイティブ開発」とはでも詳しく解説しています。
情報漏洩を防ぐために、まずやるべき対策
漏洩が起きれば、原因の調査と復旧、個人情報保護委員会への報告と本人への通知、業務の停止、そして信用の低下が待っています。まずは、次の点を確認してください。
- 修正版が出ているものを当てる（サーバー、OS、社外から社内につなぐVPN機器など）
- 外部に公開する必要のない画面や機能を閉じ、公開範囲や権限の設定を見直す
- 推測されやすいパスワードをやめ、多要素認証（パスワードに加えて別の確認を求める仕組み）を使う
- 業務の委託先が、自社のどのデータを持ち、どう管理しているかを確認する
- 退会した会員の情報など、もう使わないデータを消す
ただし、これらは「今ある穴をふさぐ」対策です。サポートが切れたシステムでは、新しい弱点が見つかっても修正版が出ないため、いずれ同じ問題に戻ってきます。根本的には、システムを「更新し続けられる状態」に変えることが必要です。
情報漏洩対策に、なぜAIが必要なのか
「更新し続けられる状態」にするには、これまで大がかりな作り直しと、弱点の情報を追いかけて直し続ける人手が必要でした。この前提が、AIによって変わり始めています。
攻撃側がAIを使う時代、守る側もAIで備える
攻撃する側は、すでにAIを使い始めています。米グーグルの脅威分析チームが2026年5月に発表した報告書では、既知の弱点を確かめる作業をAIで大規模に自動化する攻撃グループや、AIを使って未知の弱点を突く攻撃プログラムを作った例が報告されています。
一方で、グーグル自身もAIを使って、悪用される前に弱点を見つける取り組みを進めています。
攻撃が速くなっている今、「調べて、直して、確かめる」を人手だけで続けていては追いつけません。これからの情報漏洩対策は、AIにはAIで備える時代に入りつつあります。
ただし、AIは基本の対策の代わりではありません。修正版を当てる、設定を見直すといった土台の上で、人だけでは追いつかない調査や確認をAIに担わせる。それが、AIを使う意味です。
※出典: ビジネス+IT（2026年5月12日）。グーグルの脅威分析チームの報告書を紹介した記事
AIで古いシステムを読み解き、更新し続けられる状態にする
AIは、既存のプログラムを読み、どんな処理をしているのかを整理することも得意です。仕様書が残っていないシステムでも、動いているソースコードがあれば、AIで構造を解析し、仕様を文書にできる可能性があります。「作った会社しか分からない」状態を変えるところから始められます。
私たちの「AIネイティブ開発」は、設計・実装・確認・テストといった開発の工程にAIを組み込み、人は「何を作るか」「業務にどう影響するか」の判断に集中する進め方です。作り替えたあとの保守にもAIを組み込み、弱点が見つかってから直すまでの時間を縮めることを目指します。
作り直す前に、まず保守・運用の進め方から見直したい場合は、システムの保守費・運用コストを約3分の1に削減したケースも｜作り直さずに始める「AIネイティブ運用」もあわせてご覧ください。
AIで作ったシステムのセキュリティは大丈夫か
「情報セキュリティ10大脅威 2026」では、「AIの利用をめぐるサイバーリスク」も組織向けの3位に初めて選ばれました。AIは間違えることがあり、出力をそのまま使えば新しい弱点を作り込むおそれがあります。AIに渡した情報が漏れるリスクもあります。
そのため私たちは、AIが書いたプログラムをそのまま本番のシステムに反映しません。別のAIが細かく確認し、人がAIの指摘した箇所や業務への影響が大きい箇所に絞って最終判断をする、AIとAIと人の多重チェックで進めます。
どの情報をどのAIに渡すかも、事前にルールを決めます。必要に応じて、専門家による脆弱性診断（外部から攻撃を試して弱点を探す検査）と組み合わせることも大切です。
古いシステムの情報漏洩対策の進め方
すべてのシステムを一度に作り替える必要はありません。危険度の高いところから、段階的に進めるのが現実的です。
- 現状を把握する
いつ作られたものか、土台のソフトのサポート期限はいつか、どんな情報を扱っているかを洗い出します。 - 優先順位をつける
インターネットに公開されているか、個人情報を扱っているか、サポートが切れているかを基準に、急ぐべきものを決めます。 - 中身を読み解き、直し方を決める
AIでソースコードを解析し、部分的な更新で済むのか、作り替えたほうがよいのかを判断します。 - 業務への影響を抑えて移行し、更新し続ける
並行稼働や段階的な切り替えを組み合わせ、切り替え時の停止を短い時間に抑えます。稼働後も、新しい弱点に合わせて更新を続けます。
よくある質問
Q. 作った会社以外でも、古いシステムを直したり作り替えたりできますか？
実際に動いているソースコードがあれば、AIで構造や処理を解析し、仕様を読み解ける可能性があります。解析した内容を文書にし、業務のヒアリングと合わせて、直すべき箇所や作り替えの範囲を整理します。
Q. システム全体ではなく、一部だけを作り替えることはできますか？
できる場合があります。外部に公開されている部分や、個人情報を扱う部分など、危険度の高いところから優先して作り替える進め方もあります。どこから手を付けるかは、システムと業務の状況を確認したうえでご提案します。
Q. AIを使って開発するとき、顧客情報やソースコードが外部に出ることはありませんか？
どの情報をどのAIに渡すか、利用するAIサービスがデータをどう扱うかを事前に確認し、取り扱いのルールを決めたうえで開発を進めます。
情報漏洩の原因を「先送り」にしないために
2026年秋の事案の多くは原因がまだ分かっていませんが、情報漏洩の原因で最も多いのは外部からの攻撃で、その入口になりやすいのが、サポートが終わり、更新が止まったシステムです。AIを活用すれば、次のような状態を目指せます。
- 「作った会社しか分からない」システムの中身を、AIで読み解いて文書にできる
- 危険度の高いところから、業務への影響を抑えて作り替えられる
- 作り替えたあとも、AIを組み込んだ保守で更新し続けられる
まずは、自社のシステムがいつ作られ、土台のソフトのサポートがいつまでなのかを確認するところから始めてみてください。