AIサイバー攻撃の拡大で何が起きているのか――ロイター報道から確認する2026年の企業被害

ロイターの9月4日付ファクトボックスは、2026年のサイバーリスクを広く俯瞰したものだ。企業は、機密情報を盗み、業務を妨げるAI活用型のサイバー攻撃やランサムウェアに直面していると報じた。67

ただし、この総括を各社の個別事案にそのまま当てはめることはできない。提供された記事抜粋からは、一覧中のすべての事案でAIが使われたこと、またはランサムウェアが関与したことは確認できない。

中心的な論点：AIがサイバーリスクの前提を変えている

ロイターによると、OpenAI、Anthropic、Microsoft、Alphabet、Amazonなどの主要テクノロジー企業は8月27日、AI主導のハッキングが急拡大する事態に備え、社会全体で防御を強化するよう呼びかけた。これは個別事件の原因を断定するものではなく、モデルの能力向上に伴い、AIを利用した攻撃が今後数カ月で大幅に広がり得るという将来への警告である。4

こうした懸念には実務的な背景もある。ロイターが5月に伝えたVerizonの年次侵害調査では、3万1,000件超の事案のうち31％がソフトウェアの脆弱性悪用から始まった。これは盗まれた認証情報の悪用を上回ったという。攻撃者はAIを使ってソフトウェアの弱点を見つけるようになっているとされる。12

またロイターは、AIエージェントの自律的な行動をめぐる新たな問題を受け、サイバー保険会社が「ハッキング」の定義や補償の適用条件を見直しているとも報じた。3

これらは警戒が高まる理由を示すが、9月の企業一覧にある各インシデントでAIが直接使われた証拠にはならない。

ホワイトハウスの調整グループ：分かっていること、分からないこと

ロイターによると、ホワイトハウスは7月、AI開発企業と重要インフラの運営事業者を集めるサイバーセキュリティ調整グループを立ち上げる方針を示した。提供資料で示された目的は、AIシステムが特定したサイバー上の脆弱性に関する情報共有である。2325

一方で、参加組織、法的権限、運用ルール、正式な開始時期、参加者に求める措置は、提供された資料では明らかではない。現時点では、詳細が固まった制度というより、情報連携のために公表された構想として捉えるのが適切だ。

個別企業で確認できる事案

Nike：未検証のデータ公開主張を受け調査

1月26日、Nikeはサイバーセキュリティ上の問題が起きた可能性を調査していると発表した。ランサムウェア集団「World Leaks」が、Nikeの事業運営に関する1.4テラバイトのデータを公開したと自らのウェブサイトで主張したことを受けたものだ。

ただし、ロイターは当該データを直ちにダウンロードできず、真正性も検証できなかった。ここで重要なのは、データ流出は攻撃集団の主張であり、提供資料の範囲では独立して確認された事実ではない点だ。14

Bumble、Match Group、Panera Bread、Crunchbase：攻撃報道はあるが詳細は限定的

ロイターの企業ページにある抜粋では、Bloomberg Newsが、被害企業の広報担当者を引用し、Bumble、Match Group、Crunchbaseがサイバー攻撃を受けたと報じた。Panera Breadもその報道の見出しに含まれている。8

ただし、今回提供された抜粋には、攻撃手法、実行者、対象データ、業務停止、恐喝要求、調査結果、最終的な影響は記されていない。

Novo Nordisk：社内情報のコピーと一部システムの一時停止

6月11日、肥満症治療薬「Wegovy」を手がけるNovo Nordiskは、権限のない人物が社内ITシステムから情報をコピーしたと発表した。情報には、限定的な臨床試験の患者データが含まれていた。会社は調査を始め、社内システムの一部を一時停止した。22

fairlife：米国内の生産を一時停止

コカ・コーラ傘下の乳製品会社fairlifeは7月17日、第三者がシステムの一部に不正アクセスした後、米国内の生産業務を一時停止したとロイターは報じた。25

提供資料では、その第三者が誰か、どのデータが影響を受けたか、ランサムウェアや恐喝要求があったかは示されていない。

Abbott LaboratoriesとClover Health：調査と異常ログインの検知

同じく7月17日、Abbott Laboratoriesは、特定の社内システムへの不正アクセスに関わる2件のサイバーセキュリティ事案を調査していると発表した。医療保険会社Clover Healthは、一部システムで異常なログイン活動を検知したとした。26

利用可能な報道だけでは、両社について攻撃の方法、実行者、データへの影響、最終的な結果は確定できない。

NovoCure：米国患者1,400人超の内部記録が露出

腫瘍治療会社NovoCureは9月1日、8月中旬に特定の情報システムへの不正アクセスがあり、米国の患者1,400人超の内部記録が露出したと発表した。ロイターはこれを、医療分野へのサイバー攻撃が増える流れの一部と位置づけた。20

ただし、提供資料には実行者の特定、身代金要求、業務停止、解決状況に関する記述はない。

一覧への掲載だけでは判断できないこと

ロイターの9月4日付記事は、2026年にサイバー事案を報告した、または影響を受けた米企業のリストである。7

ただし、より広い一覧にあるWynn Resorts、Stryker、Crunchyroll、Hasbro、OpenAI、Rockstar Games、West Pharmaceutical Services、Instructure／Canvas、Blank Rome、Carnival、iRhythm Holdings、AdaptHealth、Fortinet、Levi Strauss、Uber Freight、GE、Fiserv、Apollo Global Management、Boston Scientificなどについては、今回の提供資料に個別事案の記載がない。そのため、日付、侵入手法、攻撃者、盗まれたデータ、障害、身代金・恐喝要求、調査、結末を裏付けて説明することはできない。

企業名がファクトボックスに載っていること自体は、ランサムウェア被害、AI利用の攻撃、あるいは犯罪集団による主張の裏付けを意味しない。

読む際の実践的なポイント

ロイター報道から慎重に言えるのは、2026年の脅威環境では、AIの高度化、脆弱性の発見速度の上昇、自律型AIエージェントをめぐる懸念がリスクを押し上げる一方、多様な業種で性質の異なるセキュリティ事案が公表されている、ということだ。3412

個別企業の被害を判断する際は、次の4点を分けて確認したい。

1. 企業自身が何を確認したか
2. 攻撃者とされる側が何を主張したか
3. その主張は独立して検証されたか
4. データと業務にどの影響が実際に公表されたか

ランサムウェアの主張、不正アクセスの調査、セキュリティ試験中の事案までが、ひとつの大きなトレンドとして並ぶ場合、この区別はとりわけ重要になる。