AI攻撃対策、藤井比早之総務相は大手クラウド4社にも対応を指示せよ

総務省は2026年10月22日、通信事業者のデータ保護とセキュリティー強化について話し合う有識者の検討会を、初めて開きました。不正アクセスによる大規模な情報漏えいが相次ぐなか、AIが自律的に作業を代行する「AIエージェント」を使ったサイバー攻撃が広がることへの危機感が共有されました。

藤井比早之氏（総務相）は2026年10月16日の閣議後会見で、通信事業者への対策について「できることから迅速に実現する」と述べたと報じられています。そのスピード感を、攻撃を受け止める「入り口」だけでなく、攻撃が送り出される「出どころ」への対応にも向けてほしいと考えます。

総務省の検討会で共有されたAI攻撃への危機感

総務省の案内によると、検討会が当面扱うのは、AIの進展で求められる技術面の対策、新しい通信の仕組みを踏まえた体制面の対策、そして法律や制度の在り方の3点です。随時会合を開き、2027年夏ごろを目途に取りまとめる予定とされています。電気通信事業法の改正で、事業者に対策を義務づけるかどうかが焦点になると報じられています。

会合では、通信事業者のデータ保護に関する現行の法令や、最先端AIの進展によるリスクが話し合われました。有識者の一人は、プログラミング言語「PHP」で重大な脆弱性（システムの弱点）が見つかった問題に触れ、「今後同様の事案は頻発する可能性が高い」と述べました。PHPは多くのウェブサイトで使われている言語です。PHPの公式サイトは2026年10月21日、外部から不正な命令を実行されるおそれのある重大な脆弱性を2件公表し、修正版を公開しています。弱点をふさぐ更新が遅れれば被害に直結するだけに、AI攻撃への備えは待ったなしだと考えます。

「また大規模な漏えいですか。通信事業者だけに責任を押し付けても、根本は止まらない気がします。」
「PHPの脆弱性のニュースを見て、うちのサイトも慌てて確認しました。更新が間に合うのか不安です。」

実際の被害も続いています。総務省は2026年10月9日、所管する事業者に注意喚起を出し、大量の個人情報を扱う事業者のシステムが不正アクセスで侵入される事案が相次いで確認されていると指摘しました。KDDIがプロバイダー向けに提供するメールシステムでも、第三者製ソフトの未知の弱点を突かれ、メールアドレスの漏えいは約1223万件にのぼると報じられています。総務省は2026年7月29日に文書で行政指導を行ったと伝えられています。

攻撃の「出どころ」にも目を向けるべきです

通信事業者に厳しい対策を求めるのは当然です。しかし、守る側にだけ負担を課し、攻撃が送り出される側を放置したままでは、片手落ちではないでしょうか。

あるセキュリティー企業が2024年の通信を観測したところ、システムの弱点を探す通信の大半は、事業者から借りた仮想サーバー（VPS）から送られていたと報告されています。送信元のネットワーク上位20で、全体の75%を占めました。この調査は一社の観測であり、大手クラウド4社だけの割合までは示していません。それでも、借りたサーバーが攻撃の出どころになっている現実は変わりません。

攻撃の出どころになっているクラウド側にも、ちゃんと責任を持ってほしいです。

AIの登場で、この問題は重みを増します。海外のAI企業が2025年11月13日に公表した報告では、AIが攻撃作戦の8～9割を実行した事例が示されました。同社自身の説明ですが、人の手を介さずに大量の攻撃が回る流れは無視できません。攻撃の発信元の側で止める仕組みの価値は、一段と高まると考えます。

Google Cloud・Azure・AWS・OCIに求めたい3つの対応

ここで名前を挙げたいのが、Google Cloud、Microsoft Azure、アマゾン ウェブ サービス（AWS）、Oracle Cloud Infrastructure（OCI）の大手クラウド4社です。世界中の企業や個人が手軽に借りられ、利用規模も大きいため、悪用されたときの影響が大きい存在だからです。

各社は利用規約や公式の案内で、悪用を禁じています。Google Cloudは、悪用を検知すると利用者に通知し、警告を無視すればプロジェクトを停止することがあると説明しています。AWSは悪用の通報フォームを用意しています。それでも、通報のあとに「いつまでに」「何を」行うのかが数字で示されなければ、通信事業者も利用者も安心できません。

求めたい対応は3つあります。1つ目は、日本の通信事業者や政府からの通報に対し、調査を始める期限と結果を返す期限を数字で示すことです。2つ目は、攻撃に使われたアカウントを停止する基準を公表することです。3つ目は、日本側と直接つながる連絡窓口を明確にし、通報先の案内を分かりやすくそろえることです。

AWSとAzureは、自社のIPアドレスの範囲をすでに公開しています。通信事業者が不審な通信の発信元をすばやく見分けるのに役立ちます。ただし、IPアドレスの範囲ごと一律に遮断すると、正規の利用者まで巻き込んでしまいます。ですから、遮断に頼るのではなく、発信元の事業者に止めてもらう仕組みが欠かせません。

通報したあとに何がどうなるのか、利用者から見えにくいのが不安です。期限を決めて対応してほしいです。

国は大手クラウドへの対応も示すべきです

2026年10月1日には、能動的サイバー防御に関する法律が施行されたと報じられています。重要なインフラを担う事業者に、サイバー攻撃の被害の報告などを求める仕組みです。高市早苗氏（首相）の政権が進めるサイバー対策を、守りの側だけでなく、攻撃が送り出される側にも広げる段階に来ています。

公表されている検討事項の説明では、クラウド事業者への対応は明示されていません。海外に本社を置く事業者に、日本の法律でどこまで求められるのかは、法的な整理が必要です。ただ、日本で事業を行う以上、日本の法や秩序を守る責任があります。だからこそ、2027年夏の取りまとめを待たず、検討会の議題に加えて早めに議論を始めるべきです。

AIで攻撃が自動化されるなら、国もスピード感を持って対策を決めてほしいです。

AI攻撃は、検討会の取りまとめを待ってくれません。通信事業者を守る対策と、攻撃の発信元に対応を求める仕組みを、車の両輪として進める必要があります。国民の個人情報を守るために、藤井比早之氏が語った「迅速に」を、行動で示すときです。

まとめ

• 総務省は2026年10月22日、通信事業者のデータ保護とAI攻撃対策を話し合う検討会を初めて開きました。
• 取りまとめは2027年夏ごろを目途とされ、電気通信事業法の改正を含む制度の在り方が焦点です。
• PHPの公式サイトは2026年10月21日、重大な脆弱性2件を公表し、修正版を公開しています。
• 攻撃には事業者から借りたサーバーも使われており、発信元の側での対応が欠かせません。
• 大手クラウド4社には、通報後の対応期限の数値化、停止基準の公表、連絡窓口の整備を求めたいところです。
• 国は検討会の議題にクラウド事業者への対応を加え、早めに議論を始めるべきです。