AIの普及により、ランサムウェアを含むサイバー攻撃では、標的調査やフィッシングメールの作成、攻撃用コードの生成などにAIが悪用され、攻撃準備の効率化や自動化が進んでいます。

こうした変化によって攻撃の手法やスピードが変わるなか、企業側も従来の対策だけでなく、不審な挙動の早期検知や迅速な初動対応、従業員教育などを見直す必要があります。

この記事では、AIによってランサムウェアを含むサイバー攻撃がどのように変化しているのかを整理し、企業が取り組みたい技術・運用面の対策と従業員教育について解説します。

AIは、攻撃者の作業を補助するだけでなく、攻撃工程の一部を自動化する用途にも使われ始めています。ランサムウェア対策を考えるうえでも、AIによって攻撃の効率化や高速化が進む可能性を踏まえる必要があります。

独立行政法人 情報処理推進機構（以下、IPA）の資料『情報セキュリティ 10大脅威2026 解説書［組織編］』では、生成AIをサイバー攻撃の補助に利用することで、さまざまな攻撃を展開しやすくなり、インシデントの発生頻度や件数、攻撃の技術水準が高まっていると示されています。

生成AIは、フィッシングメールの作成や多言語化、プログラムの作成など、サイバー攻撃に関わる作業を補助する目的で悪用される可能性があります。

IPAによると、AIの翻訳能力の向上によって、攻撃者が標的の母国語で違和感の少ないフィッシング文面を作成しやすくなっています。また、生成AIをサイバー攻撃の補助に利用することで、従来よりもさまざまな攻撃を展開しやすくなっているとされています。

さらに、IPAが紹介する英国NCSCの見通しでは、AIによって脆弱性の発見や攻撃コードの開発が加速し、修正プログラムの公開から攻撃までの時間が短くなる可能性も指摘されています。 

出典：独立行政法人 情報処理推進機構『情報セキュリティ 10大脅威2026 解説書［組織編］』

AIを攻撃準備に利用するだけでなく、AIをマルウェアの動作や攻撃工程そのものに利用する動きも確認されています。

警察庁は、2025年7月に海外で確認されたマルウェアについて、感染先の端末が利用する生成AIサービスを悪用し、端末内の情報を収集するための命令を生成する仕組みが確認されたとしています。

また、サイバー攻撃全般では、AIエージェントによってサイバー攻撃の全工程をほぼ自律的に実行したとする民間企業の報告もあります。警察庁も、AIの発達に伴い、人間が関与せずAIで自動化されたサイバー攻撃が今後増える可能性を指摘しています。 

出典：警察庁サイバー警察局『令和7年におけるサイバー空間をめぐる脅威の情勢等について』

AIを利用したマルウェアでは、実行時に生成AIを利用して挙動やコードを変化させる仕組みも確認されています。IPAは、こうしたマルウェアが難読化コードや情報窃取に使う命令を動的に生成し、セキュリティソフトによる検知を回避しようとする事例を紹介しています。

そのため、ファイルハッシュやIPアドレスなど既知のIoC（Indicator of Compromise：侵害指標）だけでなく、不審なプロセスや通信、権限変更、大量のファイル操作など、端末やシステム上で起きている挙動にも目を向ける必要があります。

出典：独立行政法人 情報処理推進機構『情報セキュリティ 10大脅威2026 解説書［組織編］』

ここまで見てきたように、AIの活用によって攻撃準備や一部の攻撃工程が効率化・自動化される可能性があります。企業側では、攻撃に対応できる時間が短くなることや、フィッシングなどの初期侵入を見分けにくくなることに注意が必要です。

攻撃準備や一部の攻撃工程が高速化すると、企業側が異常を検知し、対応を始めるまでに使える時間も短くなる可能性があります。

ランサムウェア対策では、侵入を防ぐだけでなく、異常を早期に把握し、感染端末の隔離やアカウント停止などの対応へ速やかにつなげられる体制を整えておくことがポイントです。

生成AIの活用によって、自然な文章や標的に合わせた内容のフィッシングメールを作成しやすくなると、文面の不自然さだけで不審なメールを判断することは難しくなります。

そのため、「日本語が不自然」「文章がおかしい」といった特徴だけでなく、リンクや添付ファイルを開かせようとしていないか、突然認証情報の入力を求めていないかなど、メールによって何をさせようとしているのかを確認することがポイントです。

AIによって攻撃の高速化や自動化が進む可能性を踏まえると、既知の脅威を検知するだけでなく、不審な挙動を早期に捉えて封じ込める体制も求められます。

併せて、被害が発生した場合に備え、バックアップからの復旧やインシデント対応を実行できるよう準備しておくこともポイントです。

ファイルハッシュや不審なIPアドレスなどのIoCによる検知に加えて、端末やシステム上で起きている挙動も監視します。

EDR/XDR（※1）やSIEM（※2）などを活用し、不審なコマンドやスクリプトの実行、権限昇格、認証情報へのアクセス、大量のファイル操作・データ転送といった動きを確認します。

また、横展開や権限取得など、攻撃者が侵入後に取る行動や手法にも目を向けることで、「何が使われたか」だけでなく、「どのような攻撃行動が行われているか」という観点から異常を捉えやすくなります。

※1・・・EDR（Endpoint Detection and Response）は端末上の不審な挙動を検知・対応する仕組み、XDR（Extended Detection and Response）は端末やネットワークなど複数の領域から情報を収集・分析して脅威の検知・対応を支援する仕組みのこと。

※2・・・SIEM（Security Information and Event Management）は、システムやネットワークなどのログを収集・分析し、セキュリティ上の異常を検知する仕組みのこと。

VPNやOS、ソフトウェアの脆弱性を管理するとともに、多要素認証や最小権限を取り入れ、侵入や被害拡大のリスクを抑えます。

不要なアカウントや外部公開サービスを停止するほか、管理者アカウントの保護やネットワーク分離などによって、一つの端末やアカウントが侵害されても社内全体へ影響が広がりにくい環境を整えます。

さらに、攻撃の高速化を想定し、検知後に端末隔離やアカウント停止などを速やかに行える仕組みも必要です。防御側でもAIや自動化を活用し、アラートの分析や調査、封じ込めまでの時間を短縮する方法があります。

重要なデータは通常の業務環境から分離してバックアップし、攻撃者による改ざんや削除の影響を受けにくい状態にします。定期的に復元テストを行い、必要なデータを復旧して業務を再開できるか確認することも欠かせません。

また、ランサムウェアではデータの暗号化だけでなく情報窃取を伴う場合もあるため、バックアップだけで対策が完結するわけではありません。

感染端末の隔離やアカウント停止、情報漏えいの調査、顧客・取引先への連絡などについて、誰が判断し、どのように対応するのかを事前に整理しておきます。手順書を用意するだけでなく、定期的な訓練を通じて、実際のインシデント時に対応できる状態を維持することがポイントです。

AIによって攻撃手法が変化するなかでは、特定のメールやマルウェアの特徴を覚えるだけでは対応しにくくなります。従業員が不審な要求に気づき、操作を止めて報告できるよう、実際の行動につながる教育を取り入れることがポイントです。

生成AIの活用によって、文面の不自然さだけでフィッシングメールを判断することは難しくなっています。

そのため、「日本語が不自然」「差出人がおかしい」といった特徴だけでなく、添付ファイルやURLを開かせようとしていないか、突然認証情報を求めていないか、覚えのない認証要求を承認するよう求められていないかなど、相手が何をさせようとしているかに注目する習慣を身につけます。

攻撃の高速化を想定すると、異常が明確になってからではなく、不審な操作をした段階で報告できる体制を整えておくことも大切です。

リンクをクリックした、ファイルを開いた、認証情報を入力した、不審な認証要求を承認したといった場合は、端末に目立った異常がなくても、社内の所定の窓口へ報告するルールを定めておきます。

また、誤操作に対する責任追及を優先すると、従業員が報告をためらう可能性があります。「気づく・止まる・報告する」を一連の行動として教育し、早期に情報を共有できる環境を整えることもポイントです。

攻撃手法が変化するなかでは、「最新の攻撃名や特徴を覚える」だけでなく、実務に近い状況で判断や行動を練習する方法もあります。

『セキュアプラクティス®』では、ランサムウェアなどを題材としたシナリオを用意しています。ブラウザ上で実際の業務に近いサイバーインシデントを疑似体験でき、管理者側では履修状況も確認できます。

こうした実践的な教育を継続することで、不審な状況に直面した際の「気づく・止まる・報告する」という行動の定着につなげられます。

こちらのフォームでお申し込みいただくと、セキュアプラクティス®の30日間の無料トライアルを利用できます。

AIの活用によって、サイバー攻撃の準備や一部の工程が効率化・自動化し、企業側が対応に使える時間が短くなる可能性があります。また、自然なフィッシングメールを作成しやすくなるなど、従来の特徴だけでは不審な攻撃を判断しにくくなることにも注意が必要です。

こうした変化に備えるには、不審な挙動を早期に捉えて封じ込める技術・運用面の対策に加え、従業員が異変に気づいた段階で操作を止め、速やかに報告できる体制を整えることがポイントです。

『セキュアプラクティス®』では、ランサムウェアなどを題材としたサイバーインシデントを疑似体験できます。実践的な教育を通じて、変化する攻撃に対する判断や行動を身につけたい場合は、ぜひご活用ください。