2026年9月から10月にかけて、日本国内の企業や政府機関、重要インフラを標的としたサイバー攻撃と不正アクセスが異例の規模で連鎖発生しており、国内の被害件数が過去最多を更新する深刻な事態となっています。
国家サイバー統括室（旧NISC）、警察庁、個人情報保護委員会、金融庁、総務省、経済産業省、情報処理推進機構（IPA）、およびJPCERT/CCの各機関は10月上旬、相次ぐ大規模情報漏洩を受けて異例の一斉緊急注意喚起を発出しました。
政府・与党のサイバーセキュリティ対策幹部からも「事実上のサイバー空間における非常事態」との強い危機感が表明されるなど、国家レベルの防衛課題へと発展しています。
統計データも事態の異常さを裏付けており、民間の脅威インテリジェンス調査では日本国内の1組織あたりが受ける週平均のサイバー攻撃数が前年比107%増と倍増し、世界平均を大きく上回る伸びを記録しました。
また警察庁が公表した令和8年（2026年）上半期の脅威情勢でも、国内のランサムウェア被害報告は123件に達して統計開始以降の半期最多を更新し、年間の企業侵害・情報漏洩事案も累計500件を突破する過去最悪のペースで推移しています。
直近数週間だけでも、カーシェア大手で約660万件（運転免許証画像等を含む）、カラオケ・外食大手で委託先経由により約872万件、コンビニ大手で約215万件の顧客データが流出するなど、数百万件単位の個人情報漏洩が連日のように表面化しました。
さらに大手クラウド事業者のデータセンター基盤がランサムウェア攻撃を受け、自治体や警察組織を含む495社・団体のシステムに障害が連鎖波及したほか、デジタル庁でも保守用VPNアカウントの侵害により職員・委託先等24万人超の情報が漏洩する事態となっています。
これほど短期間に日本国内でハッキング被害が激増した最大の要因として、セキュリティ専門家や捜査当局が共通して指摘しているのが、攻撃者による生成AIと自律型ツールの本格的な悪用です。
かつて日本の組織は、特殊な日本語表現や独自の商慣習がいわば自然の防壁となり、海外の犯罪組織による標的型攻撃から一定の距離を保てていましたが、高性能なLLMの普及によってその言語の壁は完全に消滅しました。
現在では、海外の攻撃シンジケートがAIを用いて不自然さのない流暢な日本語のフィッシングメールや脅迫文を大量生成し、同時に自動化された脆弱性探索ボットを24時間稼働させて日本企業のネットワーク境界へ「飽和攻撃」を仕掛けています。
JPCERT/CCおよびIPAの分析によると、直近の被害は特定製品のゼロデイ脆弱性だけでなく、外部公開されているWebアプリやBIツール、従業員向け管理システムの設定不備、VPN機器の未パッチ放置、および窃取された認証情報の使い回しという4つの経路に集中しています。
また大企業本体の防御が固くても、セキュリティ対策が手薄な中小の業務委託先やグループ会社、クラウド保守アカウントを踏み台にして本丸へ侵入するサプライチェーン攻撃が被害を何倍にも拡大させています。
これを受け日本政府は、10月1日に施行された能動的サイバー防御（アクティブ・サイバー・ディフェンス）の枠組みによるアクセス無害化措置の運用を本格化させるとともに、金融庁が銀行口座開設等でのICチップ読み取り（マイナンバーカード等）の義務化へ動きました。
警察庁やIPAはすべての国内企業・団体に対し、パスワード単独認証の即時廃止とパスキー等の耐フィッシング多要素認証（MFA）への移行、外部公開システム・VPN機器の緊急点検とパッチ適用、そして特権アカウントの監視強化を強く求めています（一次ソース：JPCERT/CC 公式注意喚起 / IPA 情報処理推進機構 セキュリティセンター / 警察庁 サイバー警察局 / 国家サイバー統括室 公式発表）。