脆弱性悪用がデータ侵害の主因に — Verizon DBIR 2026が示すサイバー攻撃の転換点

AIによって可能になった主な攻撃の強化は次の通りです。

• 大規模な自動脆弱性スキャン
• マルウェアやエクスプロイトの高速生成
• 自動化された偵察・調査
• AI生成のフィッシングやソーシャルエンジニアリング

これらの自動化により、攻撃者は数千のシステムを同時に調査し、短時間で侵入を試みることができるようになっています。

「シャドーAI」とボット攻撃の拡大

企業内部のAI利用も、新たなリスクとして浮上しています。

DBIRによると、社内で承認されていないAIツールを使う従業員（いわゆる「シャドーAI」）は45%に達しているとされています。

この状況では、機密情報や社内データが外部AIサービスに入力される可能性があり、意図しない情報漏えいのリスクが高まります。

同時に、AIはボットによる攻撃活動も強化しています。例えば以下のような攻撃が自動化されています。

• クレデンシャルスタッフィング
• 脆弱性スキャン
• ソーシャルエンジニアリング
• 不正ログインやアカウント乗っ取り

AIによる自動化により、攻撃者は人手では不可能な規模で攻撃を実行できるようになっています。

パッチ適用の遅れが攻撃者の優位を拡大

問題をさらに深刻にしているのが、企業側のパッチ適用の遅さです。

以前のDBIR分析では、**境界デバイスの脆弱性のうち完全に修正されたのは約54%**にとどまり、修正までの中央値は32日でした。

2026年の分析では状況はさらに悪化しており、

• 修正が必要な重大な脆弱性が50%増加
• 修正までの中央値が32日から43日に延長

と報告されています。

つまり、攻撃者が数時間〜数日で脆弱性を悪用できる一方で、企業のパッチサイクルは数週間以上かかることが多く、防御側の対応が追いつかない状況になっています。

サードパーティ侵害の増加

企業の攻撃面（アタックサーフェス）を広げているもう一つの要因が、サードパーティ依存の拡大です。

2025年DBIRでは、侵害にサードパーティが関与した割合が15%から30%へ倍増していました。

2026年版の分析では、約48%の侵害でサードパーティが関与しているとするデータもあります。

攻撃者が狙うのは例えば次のような組織です。

• ソフトウェアベンダー
• クラウドサービス事業者
• マネージドサービスプロバイダー
• 認証・ID管理プラットフォーム

企業は自社の防御が強固でも、サプライチェーンの弱点から侵入される可能性があります。

モバイル中心のソーシャルエンジニアリング

人間を狙う攻撃も進化しています。

DBIRでは、モバイルを狙ったソーシャルエンジニアリングの成功率が、従来のメール型フィッシングより40%高いと報告されています。

背景には次のような要因があります。

• スマートフォンでMFA（多要素認証）の承認を行うケースが増えている
• SMSやメッセージアプリはセキュリティ監視が難しい
• モバイル通知はユーザーが即座に反応しやすい

さらにAI生成メッセージ、音声クローン、QRコード詐欺などが組み合わさることで、攻撃の説得力はさらに高まっています。

セキュリティ戦略は「認証」から「露出管理」へ

2026年DBIRが示す最大のメッセージは、サイバーリスクが

「アイデンティティ中心」から「露出（Exposure）中心」へ移行している

という点です。

今後の防御では、認証情報の保護だけでなく、次のような対策が重要になります。

• 脆弱性管理と迅速なパッチ適用
• 社内AI利用のガバナンス
• サードパーティとサプライチェーンの監視
• モバイル前提のフィッシング対策

AIが攻撃と防御の両方を加速させる中で、企業にとっての最大の課題は**「攻撃者のスピードと自社の対応速度の差をいかに縮めるか」**になっています。