AIがサイバー攻撃をより高速・低コストに！IBMが警鐘：悪意あるデータ漏洩の4分の1にAIが関与、平均損失は600万ドル、金融・エネルギー業界が最大の被害を受けている

AIはサイバー攻撃の技術的・コスト的ハードルを大幅に下げており、企業がデータ漏洩にかかるコストはますます重くなっている。IBM（NYSE：IBM）の最新『2026年データ漏洩コスト報告』によると、悪意ある侵入によるデータ漏洩事件の4分の1がAI技術に関与しており、件数は前年比56%増加している。1件あたりの平均損失は600万ドル（約1億9500万円）に達し、一般的なデータ漏洩事件よりも約100万ドル高い。特に警戒すべきは、AI駆動の攻撃の62%がキーパインフラを標的としており、その中でも金融サービスとエネルギー業界が最も頻繁に攻撃を受けている点だ。

IBMは、ディープフェイクによるなりすましやAI搭載のマルウェアが、データ漏洩の「経済構造」を変えつつあると指摘している。ハッカーはAIを使って攻撃の準備時間を短縮し、コストを下げ、攻撃プロセスを自動化・規模化できる。一方、被害企業はインシデント調査、システム復旧、業務停止、規制対応、ブランド信頼の損失など、多大なコストを負担しなければならない。これにより、ハッカーは数千ドルの投資で、企業に数百万ドルの損失をもたらす非対称な状況が生じている。

AIが攻撃の経済学を変える　企業の脆弱性修復速度が鍵

「変化しているのはサイバー攻撃の経済性です。AIにより攻撃はより速く、より安くなりますが、セキュリティ脆弱性による損失はますます大きくなっています」と、IBMセキュリティソフトウェア副社長のSuja Viswesan氏は述べている。企業が脆弱性を発見してから修復するまでの時間差が長いほど、この不均衡はデータ漏洩コストに直接反映されるという。

彼女は、企業の最優先課題はこの「時間差」を短縮することだと指摘している。これには、ソフトウェア開発プロセスへの修復メカニズムの組み込み、システム稼働中のアイデンティティセキュリティの強化、そしてハッカーと同じ思考とスピードでリスクに対処することが含まれる。

しかし、IBMの調査によると、企業はすでにAIを脅威検出に活用し始めているものの、脆弱性管理のスピードは追いついていない。回答した組織の半数以上がAIエージェントを脅威検出・防御に使用しているが、脆弱性管理にAIエージェントを活用しているのは18%にとどまっている。

つまり、企業は攻撃を「より早く」見つけることはできても、同じスピードで修復できない可能性がある。ハッカーがAIを使って脆弱性の探索・テスト・悪用の時間を短縮する一方で、企業内部の既知の脆弱性は、開発プロセス、責任分担、システム依存関係などの問題から長期間放置されがちであり、攻防のスピード差がさらに広がっている。

62%がキーパインフラを標的　金融業の1件あたり損失は2億円超

業界別に見ると、AI駆動の攻撃はすでにキーパインフラに集中している。報告書によると、関連攻撃の62%がキーパインフラを標的としており、金融サービスとエネルギー業界が最も頻繁に攻撃を受けている。

特に、金融サービス業界の1件あたりのデータ漏洩の平均損失は630万ドル（約2億400万円）に達し、エネルギー業界も520万ドル（約1億6900万円）と高い水準にある。

金融とエネルギー業界は、支払い、資金の流れ、電力・エネルギー供給を担っており、大規模な侵入が発生した場合、影響は単一企業にとどまらず、サプライチェーン、金融取引、基本的な民生サービスにまで波及する。これにより、システム全体の停止や連鎖的な業務中断のリスクが高まる。

AIは攻撃に使われるだけでなく、企業のAIモデルも新たな攻撃経路に

企業が生成AIやAIエージェントの導入を加速する中、AIはハッカーが攻撃に使うツールであるだけでなく、企業が展開するAIモデルやアプリケーション自体が、新たな攻撃対象になりつつある。

報告書によると、回答した組織の20%以上が、自社のAIモデルやAIアプリが攻撃を受け、データ漏洩が発生したと回答している。しかし、実際に突破されたのはAIモデルのコア部分ではなく、モデル周辺のシステムや接続環境のリスクが多い。

関連事件では、API、アプリケーション、プラグインが破壊されたケースが27%、AIワークロードに関わるクラウド設定の誤りも27%を占めている。これは、企業がAIアプリの迅速な導入を追求しながら、アイデンティティ権限、API接続、プラグインの出所、クラウド設定の管理を同時に進めない場合、AIの導入規模が大きくなるほど、攻撃対象となる範囲も広がることを意味している。

AIセキュリティ自動化導入で、データ漏洩コストが200万ドル削減

AIはハッカーの攻撃スピードを高めるが、企業が損失を抑えるための防御ツールにもなり得る。IBMの調査によると、AIと自動化技術をセキュリティ運用に活用している組織は、1件あたりのデータ漏洩コストを平均200万ドル（約6491万円）削減できることが分かっている。

しかし、コスト差が明確にもかかわらず、回答した組織の4分の1は、セキュリティ運用にAIや自動化ツールをまだ採用していない。

Ponemon研究所が実施した後続調査では、回答した組織の85%が次世代のAIセキュリティソリューションに気づいており、関連投資を増やす計画があると回答している。また、4分の3が、革新的なAI脅威が企業に、セキュリティ運用全体にAIエージェントをどう配置するかを再考させていると回答している。

これは、企業が今後直面する問題は、AIセキュリティツールを導入するかどうかではなく、脅威検出、脆弱性修復、アイデンティティ管理、ソフトウェア開発プロセスをどう連携させるか、つまりAIを単なる一点の検出ツールにせず、リスク露出時間を実際に短縮できるようにするか、という点にあることを意味している。

ランサムウェアが企業の評判を標的に　基本的な暗号化ガバナンスに穴

AI駆動の攻撃以外にも、ランサムウェアの圧力手法も拡大している。報告書によると、ランサムウェア攻撃を受けた組織の割合は、前年の34%から39%に上昇している。ハッカーがAIを使って攻撃を自動化・規模化する中、脅しの手段はファイルの暗号化や業務停止だけにとどまらない。

ハッカーが企業に圧力をかけるために最もよく使うのはブランド評判で、41%を占める。次に従業員データが35%、知的財産が31%と続く。ランサムウェア攻撃の影響範囲は、情報システムから企業の信頼、人材関係、長期的な競争力にまで広がっている。

一方、企業のデータ暗号化ガバナンスには依然として明らかなギャップがある。データ漏洩を経験した組織のうち、静的なデータと伝送中のデータの両方を暗号化しているのは37%にとどまる。自社の暗号資産を正確に把握しているのは34%に過ぎない。量子コンピュータが既存の暗号体系に脅威を与える可能性がある中、多くの企業はまだ基本的な暗号資産の棚卸しを終えていない。