【詳細版】ランサムウェア対策2026｜AI時代のVPN・パッチ・個人の守り方を検証

技術

2026.10.29

この記事は約27分で読めます。

はじめに
結論：講演の主張はおおむね正しいが、一部の数字は推測
講演の要旨：杉浦隆幸氏が伝えた5つのポイント
ランサムウェアは分業ビジネス：QilinとThe Gentlemenの実態
VPNが最大の侵入口：統計で見るランサムウェアの侵入経路
仮想化基盤ESXiが狙われる理由と事例
インフォスティーラーとは：ブラウザの保存情報が丸ごと盗まれる
1. 代表例Lumma Stealer（判定：妥当）
2. 「3000人に1人」の数字（判定：要注意・根拠不明）
パッチは「自動で即時」が正解か：速さと安全の両立
AIでサイバー攻撃はどこまで速くなったか
2026年の事件：ARTEX・タイムズカー・PHP騒動
検証結果の一覧：講演の主張24項目の判定
組織向けランサムウェア対策：優先順位つきの具体策
個人向けのセキュリティ対策：0円から始める守り方
1. 漏洩の通知を受けたときにすること
2. WordPressサイトを運営する個人向けの対策
総合評価：講演レポートの正しさと3つの注意点
よくある質問
まとめ
参考リスト
1. 共有:

はじめに

「ランサムウェア対策」と聞くと、大企業の情報システム部門だけの話に思えるかもしれません。しかし2026年は、カーシェアの会員情報約660万件の流出や、ウェブサイトを動かすPHPの緊急修正に首相がSNSで対応を呼びかける騒動など、私たちの暮らしに直結する出来事が続きました。

👇 本記事でわかる3つの重要ポイント 👇

【テーマ1】講演で語られた「AI時代のサイバー攻撃」の主張と、その正確さの検証結果
【テーマ2】組織が今月中・3か月以内・年度内に進めるべき対策の優先順位
【テーマ3】個人やWordPressブログ運営者が0円から始められる守り方のコツ

この記事では、INTERNET Watchが2026年10月29日に報じた杉浦隆幸氏の講演レポートを、警察庁などの公的統計と一次情報で一つずつ確かめました。どこまでが事実で、どこからが講演者の推測なのかを整理したうえで、今日からできる対策を紹介します。

結論：講演の主張はおおむね正しいが、一部の数字は推測

結論から言うと、この講演レポートの主な主張は、公的な統計と一次情報でおおむね裏付けられます。具体的には、「VPN（社外から社内ネットワークに安全につなぐための仕組み）が最大の侵入口」「インフォスティーラーの脅威」「パッチは自動で即時に当てる」「AIで攻撃が速くなった」という主張と、ARTEX・PHP・タイムズカー・WordPressの事例です。

一方で、「AIは普通の攻撃者の約100倍」「約3000人に1人がインフォスティーラーで情報を盗まれている」「アサヒでもESXiが狙われた」などは、講演者の感覚や推測にとどまります。数字の小さな誤りもあり、Seasarのサポート終了は「11年前」ではなく約10年前で、WordPressの「1時間20分／3時間20分」という時刻は一次情報で確認できませんでした。

個人にとっても「自動更新・パスキー・バックアップ」の3つは必要です。高齢の方でも、家族が一度設定すれば、ほぼ無料で実行できます。要点をまとめると、次の3つです。

記事は大筋で正確です。警察庁の統計ではランサムウェアの侵入経路の約3分の2がVPN機器で、10月のMicrosoftの修正は過去最多の約1,400件、PHPとWordPressでも緊急の脆弱性（セキュリティ上の弱点）が実際に出ています。ただし「100倍」「3000人に1人」「アサヒのESXi」は根拠が示されていない推測で、「Claude Mythosの公開」も一般公開ではなく限定提供です。
組織の最優先は、インターネットに公開しているVPN・ファイアウォール・Webシステムの棚卸しと自動更新、VPNの多要素認証化、仮想化基盤ESXiの管理画面の分離と防御設定、そしてネットから切り離したバックアップです。「パッチは即時に当て、問題があれば戻す」は、少しずつ適用範囲を広げる「段階適用」と組み合わせれば現実的です。
個人も同じ考え方が必要です。OS・アプリ・ルーターの自動更新、サポート切れ端末を日常に使わないこと、パスワードマネージャーとパスキー、ブラウザにカード情報を保存しないこと、偽の確認画面で指示されたコマンドを貼り付けないこと、バックアップで、被害の大部分は防げます。費用は0円から年数千円です。

講演の要旨：杉浦隆幸氏が伝えた5つのポイント

講演の中心にあるのは、「AIによって攻撃が速くなったので、守る側も人の判断を待たずに更新する必要がある」というメッセージです。2026年10月22日、セキュリティ専門イベント「Security Days Fall 2026」の東京会場で、日本ハッカー協会の杉浦隆幸代表理事が講演し、INTERNET Watchの森田秀一記者が報じました。

講演のタイトルは「AIで進化するランサム攻撃とOSINTで見えた対策＋大情報漏洩時代を生き抜くには」です。OSINT（オシント）とは、公開されている情報を集めて分析する調査手法のことです。要点は次の5つです。

ランサムウェア（データを暗号化して身代金を要求する不正プログラム）は、RaaSベンダー、アフィリエイター、イニシャルアクセスブローカー、資金洗浄役に分業された「儲かる」ビジネスになっている。
最も狙われるのは、外から存在が分かるVPNで、侵入された後は仮想化基盤のVMware ESXiが致命傷になる。
インフォスティーラー（情報を盗む不正プログラム）は、ブラウザに保存されたID・パスワード・カード情報・暗号資産の鍵を丸ごと盗む。
AIで脆弱性の発見から悪用までが極端に速くなったため、パッチ（修正プログラム）は人が評価せず「自動で即時に当て、動かなければ戻す」しかない。
タイムズカー、ARTEX、Claude Mythos、PHPの騒動などは、2026年3月以降に「情報セキュリティの常識が変わった」ことの例である。

ここからは、講演の主張を24項目に分け、ひとつずつ「妥当」「一部妥当」「要注意」などの判定と、その根拠を見ていきます。

ランサムウェアは分業ビジネス：QilinとThe Gentlemenの実態

ランサムウェアが分業化された「ビジネス」になっているという主張は、セキュリティ企業の調査で裏付けられます。ただし、組織の人数や交渉役のAI化といった細かい話には、公的な裏付けがありません。

RaaSの分業化（判定：妥当）

RaaS（ラース、Ransomware as a Service）とは、ランサムウェアの道具や仕組みを「サービス」として貸し出す形態です。運営側が道具を用意し、実際の侵入はアフィリエイト（実行役）が担い、身代金を分け合います。講演では、QilinやThe GentlemenがRaaSベンダー（運営側）として挙げられました。

セキュリティ企業Check Point Researchは、The Gentlemenが2025年半ば以降に320件を超える被害を公開し、実行役に身代金の90%を配分していると報告しています。Palo Alto NetworksのUnit 42は、運営者は約20人で、もとはQilinの実行役「ArmCorp」だったと分析しています。

組織の人数（判定：要注意・根拠不明）

「80人規模の組織がある」「Qilinは10人以上」という話は講演者の観測で、公開データはありません。The Gentlemenの運営者が約20人というUnit 42の数字とは矛盾しません。

なお、Qilinの中核メンバーとされるロシア国籍の男（28歳）が2026年5月に大阪で拘束され、10月2日にドイツへ引き渡されたことを、警察庁が10月8日に発表しています。ドイツ当局が恐喝の疑いで捜査している段階で、有罪が確定したわけではありません。

Qilinとアサヒへの攻撃（判定：妥当）

Qilinは、アサヒグループへの攻撃について犯行声明を出しています。警察庁の「令和7年におけるサイバー空間をめぐる脅威の情勢等について」は、アサヒとみられる飲料メーカー大手について、グループ内のネットワーク機器を経由してデータセンターに侵入され、約191万件の個人情報が漏えい（またはそのおそれ）と記載しています。

交渉役のAI化（判定：要注意・根拠不明）

身代金の交渉役（ネゴシエーター）がAIに置き換えられつつあるという話は、講演者の伝聞です。公的な裏付けは見つかりませんでした。

VPNが最大の侵入口：統計で見るランサムウェアの侵入経路

「ランサムウェアで最も狙われるのはVPN」という主張は、日本では特に統計がはっきり示しています。ただし、「VPNをやめれば安全」とは言えず、IDとパスワードの守りを固めることが前提になります。

侵入経路の約3分の2がVPN機器（判定：妥当）

警察庁の令和7年（2025年）の統計では、侵入経路が分かった92件のうち、VPN機器が61件（66.3%）、リモートデスクトップ（離れた場所からパソコンを操作する仕組み）が19件（20.7%）でした。警視庁が東京都内の被害を集計した数字でも、VPN機器が63%、リモートデスクトップが28%です。

世界的に見ても、アメリカの通信会社Verizonの年次報告書「DBIR 2026」で、脆弱性の悪用が最初の侵入方法の31%を占め、初めて首位になりました。

VPNは外から見つけられる（判定：妥当）

VPNのログイン画面や証明書は、インターネットにつながった機器を探す検索サービス「Shodan」などで調べられます。攻撃方法がGitHub（プログラムの共有サイト）で手に入るという点も、後で紹介するWordPressの事例で、公開から数時間のうちにGitHubに複数の攻撃検証コードが出たことからわかります。

VPNをやめてクラウドにすれば安全？（判定：一部妥当）

VPNがなく、ファイルがクラウドにあれば、境界のVPN機器という最大の入口は消えます。ただし、クラウドはインフォスティーラーで盗まれたIDとパスワード、ログイン状態（セッション）で突破されます。

Verizon DBIR 2026によると、ランサムウェアの被害を受けた組織の73%が、攻撃前の1年以内にインフォスティーラーへの感染か、認証情報の漏洩を経験していました。VPNをやめるだけでは、攻撃の入口がクラウドのIDに移るだけなので、認証の強化が欠かせません。

仮想化基盤ESXiが狙われる理由と事例

侵入後に仮想化基盤（1台の機械の中で多数のサーバーを動かす仕組み）を乗っ取られると、被害が一気に広がります。ESXiはVMware（現在はBroadcom傘下）の仮想化ソフトで、多くの企業のサーバーを支えています。

KADOKAWAの事例（判定：一部妥当・攻撃者の主張）

2024年のKADOKAWAへの攻撃について、攻撃グループBlackSuitは犯行声明で、ESXiやvSphereのような「全体を管理する中枢」を通じてネットワーク全体を暗号化したと主張しています。ただし、KADOKAWA自身は侵入経路や構成上の弱点を公表していません。

アサヒの事例（判定：要注意・推測）

アサヒ（2025年）でもESXiが狙われたという話は、記事の中でも「恐らく」とされています。アサヒと警察庁が公表しているのは「ネットワーク機器を経由してデータセンターに侵入し、複数のサーバーを暗号化」というところまでで、ESXiは確認されていません。

ESXiは自動更新しにくい（判定：おおむね妥当）

講演では「予備のホスト（サーバー機）がないとESXiにパッチを当てられない。自動アップデートはできないと思う」と語られました。実際、ESXiには家庭用のOSのような無人の自動更新はありません。

管理ツールのvSphere Lifecycle Managerを使えば、仮想マシンを別のホストへ動かしながら1台ずつ更新（ローリング適用）できますが、そのための余分な機械が必要です。BroadcomはSecure Boot（起動時の改ざん防止）、execInstalledOnly（正規にインストールしたプログラムしか動かさない設定）、lockdownモード（管理操作の制限）、そしてパッチの継続的な適用を推奨しています。

インフォスティーラーとは：ブラウザの保存情報が丸ごと盗まれる

インフォスティーラーが、ブラウザに保存したID・パスワード・カード情報・暗号資産の鍵を盗むという主張は事実です。一方で「約3000人に1人が漏洩」という数字は、講演者の感覚によるものです。

代表例Lumma Stealer（判定：妥当）

Microsoftは、2025年3月16日から5月16日までの2か月間で、インフォスティーラー「Lumma Stealer」に感染したWindowsパソコンを39万4,000台以上確認しました。日本のJC3（日本サイバー犯罪対策センター）も参加した国際共同作戦で、約2,300のドメイン（ネット上の住所）が押収・遮断されています。ただしTrend Microによると、Lummaは2025年7月までに活動を再開しました。

「3000人に1人」の数字（判定：要注意・根拠不明）

講演者自身が「肌感覚」と述べており、統計ではありません。1人で約1000件のIDが漏れる例については、ブラウザに保存しているパスワードが多い人ならあり得ます。

参考になる数字として、Verizon DBIR 2025では、インフォスティーラーの盗難記録に含まれる侵害された端末のうち、会社が管理する端末は30%、会社のログイン情報を含む「会社が管理していない端末」は46%でした。私物のパソコンから会社の情報が漏れる危険が大きいことを示しています。

パッチは「自動で即時」が正解か：速さと安全の両立

修正プログラムを早く当てるべきだという方向性は、データで裏付けられます。ただし「一斉に即時」には落とし穴があり、少しずつ広げる段階適用と、元に戻す手順が前提になります。

自動アップデートとサポート切れ機器の廃棄（判定：妥当）

Google傘下のMandiantの報告書「M-Trends 2026」では、脆弱性が公開されてから悪用されるまでの平均日数（time-to-exploit）が推定「マイナス7日」でした。つまり、修正が出る前に悪用が始まるのが普通になっています。

Verizon DBIR 2025では、VPNなどの境界機器の脆弱性のうち、その年のうちに完全に修正されたのは約54%で、修正までの中央値は32日でした。警察庁のリーフレット（令和8年1月）でも、VPN機器を使う組織の52%が最新のパッチを当てていませんでした。

今月の修正は約1400件（判定：件数は妥当、解釈は一部）

2026年10月13日のMicrosoftの月例更新（Patch Tuesday）は過去最多で、集計する会社や数え方によって1,407件から1,416件まで幅があります。ただし、これは「Windows」だけでなくMicrosoft製品全体の数で、Rapid7の集計ではWindowsは1,102件です。

講演では「個別に評価する意味はない」とされましたが、実際に悪用が確認された脆弱性（アメリカのCISAが「KEV」というリストに載せたもの）を最優先にする選別は、今も有効です。

「すぐ当てて、動かなければ戻す」（判定：一部妥当・反論あり）

速さの面では正しい考え方です。しかし、2024年7月19日にはセキュリティ企業CrowdStrikeの不具合のある更新で、MicrosoftのDavid Weston副社長が7月20日のブログで推計したとおり、850万台のWindows端末（全Windows機の1%未満）が影響を受けました。

このため、一斉適用ではなく、少数の端末で先に試してから広げる段階適用と、確実に戻せる手順を組み合わせる必要があります。

危ない機器はクラウド事業者に任せる（判定：妥当・条件付き）

ハイリスクな機器をクラウド事業者のサービスに置き換えると、更新と監視の責任を事業者に移せるので合理的です。ただし、設定ミスとIDの管理の責任は利用者側に残ります。

AIでサイバー攻撃はどこまで速くなったか

AIによって脆弱性を見つける力が大きく伸びたことは事実です。しかし、「見つかった脆弱性の数」と「実際に悪用された攻撃の数」は別物で、「100倍」という数字を裏付けるデータはありません。

「AIは普通の攻撃者の100倍」（判定：要注意）

AnthropicのProject Glasswingでは、約50のパートナーが最初の1か月で、深刻度が「高」または「重大」の脆弱性を1万件以上見つけました。オープンソースのソフトウェア1,000件超を調べたところ、6,202件の高・重大な脆弱性が出ています。

一方で、The Hacker Newsによると、VulnCheckのPatrick Garrity氏がAnthropicやGlasswing由来の脆弱性300件を調べたところ、実際に悪用が確認されたのは2件（0.67%）だけでした。対象はGhost CMSのCVE-2026-26980と、Rejetto HTTP File ServerのCVE-2026-61500です。

WordPressの「wp2shell」の時系列（判定：一部妥当）

講演では、2026年7月のWordPressの件について「約15分で対応開始、自動更新は1時間20分後、攻撃コードは3時間20分後」と紹介されました。wp2shell（CVE-2026-60137／CVE-2026-63030）は、ログインなしで外部からサイトを乗っ取れる組み合わせの脆弱性です。

この脆弱性は7月17日にWordPress 7.0.2で修正され、WordPress.orgが強制的な自動更新を実施し、CISAがKEVに掲載しました（IPAによると7月21日）。セキュリティ企業Patrowlによると、リリースは協定世界時（UTC）で約16時、公式発表は18時45分から53分、公開された攻撃検証コードは約23時です。

Patchstackは、7.0.2のリリースから約90分後に最初の悪用の試みを検知しました。「1時間20分／3時間20分」と一致する一次情報はなく、悪用の開始は「約1日後」よりも早く、数時間後でした。

Claude Mythosは一般公開ではない（判定：一部妥当）

講演では「2026年3月から常識が変わった」「4月公開のClaude Mythos」と紹介されました。Mythosの存在は3月26日に草稿の流出で知られ、4月7日にProject Glasswingとして発表されました。

ただし一般公開ではありません。NBC News（4月7日）によると、50を超える組織への限定提供で、6月2日に15か国超の約150組織へ拡大されました。Anthropicは発表の時点で、一般公開する予定はないと明言しています。

ガードレールの緩いAIの登場（判定：要注意・具体的根拠なし）

「2026年後半にはMythosを超え、安全装置（ガードレール）の緩いAIが攻撃に使える」という話には、特定のモデル名が示されていません。後で紹介するARTEXが中国のAI「DeepSeek」との連携機能を持っていた（韓国Financial News）ことは、市販のAIが攻撃に組み込まれている傍証になります。

2026年の事件：ARTEX・タイムズカー・PHP騒動

講演で挙げられた2026年の事例は、名称も含めておおむね正確でした。ただし、タイムズカーの原因についての講演者の見立ては、会社の公式発表では確認されていません。

AI侵入テストツール「ARTEX」の悪用（判定：妥当）

ARTEXは、中国語を話す開発者が2026年7月にオープンソースで公開した、AIが自律的に動くペネトレーションテスト（許可を得て行う疑似攻撃）用のツールです。CrowdStrikeが10月7日に韓国の金融機関への攻撃での使用を報告し、作者は10月8日に非公開化を表明しました。

GMOサイバーセキュリティ byイエラエは、日本企業約20社が標的になり、そのうち8社が9月から10月に情報漏洩を公表していたと発表しています。隠す機能を加えた派生版（フォーク）も確認されています。AIが自律的に攻撃したのか、人が指示していたのかは、見方が分かれています。

タイムズカーの約660万件の漏洩（判定：妥当）

公式発表では約660万アカウント（実人数ではなく重複を含む）で、そのうち運転免許証の画像などの本人確認書類が約160万アカウントです。退会者や手続きが終わっていない申込者の情報、本人確認書類の画像を持ち続けていたことが、被害を広げました。

Seasarの痕跡と「11年前」（判定：一部妥当・年数は誤り）

講演では、サイトにサポート切れのJava用フレームワーク（開発の土台となる部品）「Seasar（2004-2006）」の痕跡があり、11年前にサポートが切れたと紹介されました。SeasarやTeedaの痕跡と、2008年のjQuery 1.2.6は、ITジャーナリストの山口健太氏なども確認しています。

ただし、SeasarのサポートはSeasarプロジェクトの告知どおり2016年9月26日に終了しており、約10年前です。「2004-2006」は著作権表記の年です。10月23日の第5報は「Webシステムの脆弱性の悪用」とするだけで、Seasarが原因とは公表していません。

PHPの緊急修正騒動（判定：妥当）

PHP（多くのウェブサイトを動かすプログラミング言語）は、認証なしで外部から不正なプログラムを実行される「php2shell」（CVE-2026-109618／109619、深刻度を表すCVSSは9.2）を、10月21日夜（日本時間23時）に修正しました。

詳細は予定より前に流出し、高市首相が自身のXで対応を呼びかけ、国家サイバー統括室はサイトの一時停止も有効策の一つと案内しました。piyologの集計では211組織が予防的にサービスを止めています。修正版は8.5.12、8.4.27、8.3.36、8.2.35で、7系と8.1には公式の修正版が出ていません。

検証結果の一覧：講演の主張24項目の判定

ここまでの検証結果を一覧表にまとめます。「妥当」は根拠で裏付けられたもの、「要注意」は根拠が示されていないか推測にとどまるものです。

番号	講演の主張	判定
1	RaaSの分業化。QilinやThe GentlemenがRaaSベンダー	妥当
2	80人規模の組織がある。Qilinは10人以上	要注意・根拠不明
3	Qilinはアサヒへの攻撃で知られる	妥当
4	交渉役がAIに置き換えられつつある	要注意・根拠不明
5	ランサムウェアで最も狙われるのはVPN	妥当（日本では特に）
6	VPNの有無は外から分かり、攻撃方法はGitHubで手に入る	妥当
7	VPNがなくクラウドならば攻撃は難しくなる	一部妥当
8	KADOKAWAではESXiが狙われた	一部妥当（攻撃者の主張）
9	アサヒでもESXiが狙われた	要注意・推測
10	ESXiは予備がないとパッチを当てにくい	おおむね妥当
11	インフォスティーラーがブラウザの情報を盗む	妥当
12	約3000人に1人が漏洩している	要注意・根拠不明
13	自動アップデートが鍵。サポート切れはすぐ廃棄	妥当（方向性）
14	今月のWindowsの脆弱性は約1400件	件数は妥当、解釈は一部
15	パッチはすぐ当て、動かなければ戻す	一部妥当（反論あり）
16	危ない機器はクラウド事業者に任せるほうが割安	妥当（条件付き）
17	AIは普通の攻撃者の約100倍	要注意（100倍は根拠なし）
18	WordPressは1時間20分後に自動更新、3時間20分後に攻撃コード	一部妥当（時刻は確認できない）
19	ARTEXが悪用され、作者が公開停止	妥当
20	タイムズカーで600万件以上が漏洩	妥当
21	Seasarのサポートが11年前に切れた	一部妥当（年数は誤り）
22	2026年3月から常識が変わった。4月公開のClaude Mythos	一部妥当
23	2026年後半にはガードレールの緩いAIが攻撃に使える	要注意・具体的根拠なし
24	2026年10月21日にPHPの騒動があった	妥当

組織向けランサムウェア対策：優先順位つきの具体策

組織がまず取り組むべきなのは、外から見える入口を把握し、そこを常に最新の状態に保つことです。次に、侵入されても立ち直れるバックアップを整えます。なお、最適な対策は組織の規模やシステム構成によって異なるため、具体的な導入にあたっては専門の事業者や公的機関にご相談ください。

優先度A：今月中に取り組むこと

外部公開資産の棚卸し（ASM）：自社のIPアドレスとドメインを、Shodanや無料の調査サービスで外から見て、VPN、ファイアウォール、リモートデスクトップ、管理画面、古いWebシステム（タイムズカーのようなサポート切れのフレームワークを使ったもの）を一覧にします。海外拠点や子会社も含めます。
VPNとエッジ機器（ネットの境目にある機器）：自動更新を有効にし、メーカーの緊急修正は48時間以内に当てます。CISAのKEVに載った脆弱性は最優先です。SSL-VPNの管理画面はインターネットに出さず、不要なアカウントは削除し、IDとパスワードだけの認証をやめて多要素認証（できれば証明書かFIDO2という規格）にします。サポート切れの機器は入れ替えます。
バックアップ：「3-2-1-1-0」にします。3つのコピー、2種類の媒体、1つは別の場所、1つはネットから切り離すか書き換えできない状態、復元テストでエラー0、という意味です。バックアップサーバーは社内の認証の仕組み（ドメイン）に参加させず、別の認証にします。Qilinは侵入後にバックアップを壊す手口を使います。

VPNの認証については、警察庁のリーフレット（令和8年1月）で、VPN機器を使う組織の39.8%が社外からのアクセスをIDとパスワードだけで認証していたことがわかっています。

優先度B：3か月以内に取り組むこと

ESXiとvCenter（仮想化基盤の管理ツール）：管理用のネットワークを業務用のネットワークから分離し、lockdownモード（Normal以上）、SSHとESXi Shellの停止、VMkernel.Boot.execInstalledOnly=TRUE、Secure Bootを設定します。vCenterに多要素認証を入れ、ESXiの記録（ログ）を監視システムへ送ります。パッチを当てられるようホストを1台余分に用意し、vSphere Lifecycle Managerで定期的に1台ずつ更新します。
EDR（端末の不審な動きを検知する仕組み）と24時間監視：小規模な組織でも、監視を代行するサービス（MDR）を使うか、OS標準の防御機能を正しく設定します。The GentlemenやQilinはEDRを止める道具を使うため、改ざん防止機能を有効にします。
インフォスティーラー対策：社員と役員にはパスキーかFIDO2を使わせ、ブラウザへのパスワード保存を禁止して、会社のパスワードマネージャーに切り替えます。ログイン状態の有効期間を短くし、端末とひも付け（Microsoft Entraのトークン保護など）、私物端末からのアクセスを制限します。漏洩が見つかったら、パスワード変更だけでなくログイン状態も無効にします。
パッチの運用：「すぐ当て、問題があれば戻す」を段階適用で実現します。IT部門の端末で24時間、全社で72時間が目安です。戻す手順と、更新が止まった端末を見つける監視も用意します。

優先度C：年度内に取り組むこと

データを持ちすぎない：退会者の情報や本人確認書類の画像は持たないようにします。タイムズカーの被害を広げたのは、この長期保管でした。
ゼロトラスト（すべての通信を信用せず毎回確認する考え方）への段階的な移行：VPNの廃止そのものより、「外から見える入口を減らす」「IDを強くする」ことが目的です。
制度とガイドライン：IPAが10月に詳しい資料を公開した「サプライチェーンセキュリティ対策評価制度（SCS評価制度）」の自己評価、経済産業省の「サイバーセキュリティ経営ガイドライン」、IPAの「中小企業の情報セキュリティ対策ガイドライン」に沿って、取引先への説明を準備します。

中小企業の現実的な優先順位

人手や予算が限られる中小企業では、次の5点から始めるのが現実的です。多くは今ある製品の設定で済むため、追加の費用は小さく抑えられます。

VPNとルーターの自動更新と多要素認証
ネットから切り離したバックアップ
WindowsとMicrosoft 365の標準の防御機能と多要素認証
サポート切れ機器の入れ替え
IT保守業者との契約に「緊急パッチを48時間以内に当てる」を入れる

個人向けのセキュリティ対策：0円から始める守り方

個人にもセキュリティ対策は必要です。個人はVPNやESXiを持っていませんが、「更新の遅れ」と「盗まれたパスワード」という弱点は、組織と同じだからです。

IPAの「情報セキュリティ10大脅威2026」の個人編には、インターネット上のサービスからの個人情報の窃取、不正ログイン、インターネットバンキングの不正利用（4年ぶりに選出）が並んでいます。具体的な対策は次の表のとおりです。

対策	やること	手間	費用	高齢の方でもできるか
自動更新	Windows Update、iPhoneやAndroidの自動更新、アプリストアの自動更新、ブラウザの再起動	初回10分	0円	◎ 一度設定すれば自動
ルーター・NAS	管理画面で自動ファームウェア更新をオンにし、初期パスワードを変え、外部公開機能をオフにする。サポート切れなら買い替え	初回30分	0円（買い替えは1万円前後）	△ 家族の支援を推奨
サポート切れの端末	銀行、LINE、メール、買い物には使わない。再利用するなら、Wi-FiとSIMを外した音楽プレーヤーや写真立てなどオフライン用途に限る	少	0円	○
パスワードマネージャー	サイトごとに別のパスワードにする。ブラウザにカード情報を保存しない	初回1〜2時間	0円（OS標準やBitwarden無料版）〜年数千円	△ 家族の支援を推奨
パスキー・2段階認証	Google、Apple、Microsoft、銀行、証券、通販でパスキーかSMS以外の2段階認証を設定	1サイト5分	0円	○ 顔認証・指紋認証で使えるのでむしろ楽
感染経路を断つ	不正コピー版や怪しい「無料版」ソフト、検索広告からのダウンロードを避ける。「私はロボットではありません」画面で「Win+Rを押して貼り付け」と指示されたら必ず中止する（偽CAPTCHA、ClickFixと呼ばれる手口）	意識づけ	0円	○ 「コマンドを貼れと言われたら詐欺」と1行で覚える
漏洩チェック	Have I Been Pwnedやブラウザのパスワードチェック機能で確認し、該当したら変更する	年数回10分	0円	○
バックアップ	3-2-1の考え方で、写真はクラウドと外付けディスクの両方に保存する。外付けディスクは普段は外しておく	初回30分	外付けディスク1万円前後、クラウドは月数百円	○

漏洩の通知を受けたときにすること

タイムズカーなどから漏洩の通知を受けたら、まずそのサービスのパスワードを変えます。同じパスワードを使い回していた他のサイトも変更し、本人確認書類を悪用した不正な契約やなりすましに注意してください。

WordPressサイトを運営する個人向けの対策

2026年は、WordPress本体にセキュリティ修正が相次ぎました（7.0.2のwp2shell、7.0.4、9月の7.1.2のCVE-2026-87902、10月28日の7.1.4）。個人でブログを運営している人は、次の点を確認しましょう。

本体、プラグイン、テーマすべての自動更新をオンにします。IPAは、強制更新でもサイトの環境によっては更新されないことがあるとして、バージョンを確認するよう呼びかけています。
PHPは8.2以上にします。10月の修正版は8.2から8.5の系統にだけ出ました。7系や8.1のサイトは、レンタルサーバーの管理画面で切り替えてください。
使っていないプラグインとテーマは「停止」ではなく「削除」します。長く更新されていないプラグインは代わりを探します。
レンタルサーバーのWAF（ウェブサイト向けの防御壁）、ログイン試行の制限、管理画面への国外アクセス制限をオンにします。多くは無料です。
管理者アカウントに2段階認証を設定し、不要な管理者を削除します。
サーバー側の自動バックアップを確認し、月1回は手元にも保存します。
管理が難しい場合は、ブログサービスや、更新を代行してもらえる有料の保守サービスに移ることも現実的な選択肢です。

総合評価：講演レポートの正しさと3つの注意点

この講演レポートは、AI時代には「人が判断してから当てる」パッチの運用では間に合わない、という中心のメッセージにおいて、実務上の方向性は正しいと評価できます。警察庁、Verizon、Mandiantの統計と、wp2shell、php2shell、ARTEXといった2026年の事例が、その主張をしっかり支えています。注意すべきは次の3点です。

「100倍」「3000人に1人」「80人規模」「アサヒのESXi」「交渉役のAI化」は、講演者の観測や推測です。
「Windows 1400件」はMicrosoft製品全体の数、「Seasar 11年前」は約10年前、「Mythos公開」は限定提供で、数字や表現に誤りや不正確さがあります。
「自動で即時に適用」は、CrowdStrikeの事例が示すように段階適用と戻す手順を前提にすべきです。「VPN廃止」も、認証の強化と組み合わせなければ、攻撃の入口がクラウドのIDに移るだけです。

この記事は「優先順位の付け方」として活用し、社内で説明に使う数字は一次情報で確かめてから使うのがおすすめです。

よくある質問

ランサムウェアの侵入経路で一番多いのは何ですか？

日本ではVPN機器が最も多くなっています。警察庁の令和7年の統計では、侵入経路が分かった92件のうち61件（66.3%）がVPN機器、19件（20.7%）がリモートデスクトップでした。VPN機器の自動更新と多要素認証が、まず取り組むべき対策です。

個人のパソコンやスマホにもランサムウェア対策は必要ですか？

必要です。個人も「更新の遅れ」と「盗まれたパスワード」という弱点は組織と同じです。自動更新、パスキー、バックアップの3つを設定すれば、ほぼ無料で被害の多くを防げます。

インフォスティーラーを防ぐにはどうすればよいですか？

ブラウザにパスワードやカード情報を保存しないこと、怪しいソフトや検索広告からのダウンロードを避けることが基本です。偽の確認画面で「Win+Rを押して貼り付け」と指示されたら、必ず中止してください。パスキーを使えば、パスワード自体を盗まれる心配が減ります。

WordPressのブログは何を確認すればよいですか？

WordPress本体・プラグイン・テーマの自動更新がオンになっているか、実際に最新版になっているかを確認します。あわせて、PHPのバージョンが8.2以上かどうかを、レンタルサーバーの管理画面で確かめてください。2026年10月のPHPの修正版は8.2から8.5の系統にだけ出ています。

Claude Mythosは誰でも使えるAIですか？

いいえ、一般公開されていません。2026年4月7日にProject Glasswingとして発表され、重要なソフトウェアを守る目的で、参加組織に限定して提供されています。6月2日に15か国超の約150組織へ拡大されました。

まとめ

杉浦隆幸氏の講演レポートは、「AIで攻撃が速くなったので、守る側も更新を待たずに当てる必要がある」という点で、統計と2026年の事例に支えられた正しい指摘でした。一方、「100倍」「3000人に1人」などの印象的な数字は推測であり、そのまま引用するのは避けるべきです。

組織は外から見える入口の棚卸しと自動更新、そしてネットから切り離したバックアップを最優先に進めましょう。個人の場合は、自動更新・パスキー・バックアップの3つが基本です。まずは今日、お使いのパソコンとスマホで自動更新がオンになっているかを確認してみてください。