AIサイバー攻撃で年103億円被害？今日からできる対策5つ

📌 この記事が30秒でわかる！3行まとめ

AIサイバー攻撃で2025年のネット犯罪被害は年103億円超、完璧な日本語のフィッシングメールも当たり前に
ボイスフィッシングやクイッシング（QRコード詐欺）など、身近な場所に新しい手口が潜んでいる
パスキー設定・公式アプリ利用・QRコードの物理確認など、今日からできる対策5つを紹介

最近、「AIサイバー攻撃」ってニュースでよく見かけない？なんだか怖い響きだけど、正直「私には関係ないかな」って思ってた。でも調べてみたら、これ、めちゃくちゃ他人事じゃなかったの。私は最初、AIが勝手に攻撃してくるSF的な話だと思い込んでたんだけど、実際は「犯罪者がAIを道具として使う」話だったんだよね。知れば知るほど、明日にでも自分のスマホに届きそうな話ばかりで、正直ちょっと背筋が伸びた。

今日は、なんでこんなにAIサイバー攻撃が話題になってるのか、そして私たちが今日からできる対策を、一緒に見ていこうね。

AIサイバー攻撃ってそもそも何？

「AIサイバー攻撃」と聞くと、AIが自分の意思で暴走するイメージを持つ人も多いと思う。でも実際は違って、犯罪者が生成AIを「攻撃の道具」として悪用することを指してるの。私も最初は勘違いしてたから、まずはここをはっきりさせておきたい。

誰でも「ハッカーっぽいこと」ができちゃう時代に

昔は、ウイルスを作ったり人をだますメールを書いたりするのに、専門知識が必要だった。でも今は、生成AIにお願いするだけで、驚くほど自然な文章や攻撃用のコードが作れちゃう。IPA（情報処理推進機構）が2026年1月に発表した「情報セキュリティ10大脅威2026」では、「AIの利用をめぐるサイバーリスク」が組織向け脅威の3位に初めてランクインしたんだって。国のセキュリティ機関がそう言うくらい、もう「一部の悪い人の特殊な話」じゃなくなってるってこと。

AI開発企業も「悪用」を認めている

AI開発企業のAnthropicが発表した調査では、悪意ある使い方でアカウントが停止された832件のうち、67.3%が「マルウェアの作成」にAIを使っていたそう。しかも6.5%は、侵入したあとネットワークの中を移動する（横展開する）作業までAIに手伝わせていたんだって。これ聞いて、私は「もうAIは入り口だけじゃなくて、犯罪の奥深くまで入り込んでるんだ」ってゾッとしたよ。

日本語だから安心、はもう終わった

私、ずっと「怪しいメールは日本語が変だから見分けられる」って思ってたの。でも、それはもう昔の話みたい。

完璧な日本語フィッシングが飛んでくる

生成AIのおかげで、海外発の攻撃でも自然で丁寧な日本語のフィッシングメールが簡単に作れるようになった。フィッシング対策協議会の報告では、年間のフィッシング報告件数が245万4,297件と過去最多を更新してるんだって（前年比約1.4倍）。しかもAmazonや楽天を騙るメールが常に上位に入ってる。私も楽天をよく使うから、これは本気で気をつけないとって思った。

声まで偽装される「ボイスフィッシング」

もっと怖いのが、声そのものを偽装する手口。数秒の音声サンプルがあれば、AIでその人の声をクローンできるらしいの。日本国内でも2025年11月、法人口座で4億円を超える被害が出たという報道があった。オレオレ詐欺の進化版というか、家族や上司の声で電話がかかってきたら、私、絶対信じちゃうと思う。

街角に潜む「クイッシング」

QRコードを使った詐欺（クイッシング）も急増中。駐車場の精算機や飲食店の注文QRの上に、同じデザインの偽シールを貼る手口なんだけど、警察庁のサイバー犯罪相談窓口には2024年だけで約1,800件（前年比3.6倍）もの相談が来てるんだって。読み取る瞬間まで気づけないの、本当に怖い。

実際に「被害額」を計算してみた

数字だけ見てもピンとこないから、実際に手を動かして計算してみた。

日本のネット犯罪被害を1日あたりに換算してみた

警察庁のデータによると、2025年のネットバンキング不正送金の被害総額は約103億9,700万円。これを365日で割ってみると、

103億9,700万円 ÷ 365日＝約2,849万円

私はこの数字を見て、「え、毎日3,000万円近くが誰かの口座から消えてるってこと？」と思わず声が出た。しかもこのうち法人被害だけで約47億900万円、全体のおよそ45%を占めてるの。件数はたった4%程度なのに被害額は半分近い。1件あたりの被害がとにかく大きいってことだよね。

私の家計にどれくらいの「保険」になるか計算してみた

もし自分がフィッシングで1回だまされたら、平均的な不正送金の被害額はどのくらいになるか気になって計算してみた。法人被害189件で約47億900万円だから、

47億900万円 ÷ 189件＝約2,491万円／件

法人はここまで大きい額だけど、個人でも数万円〜数十万円の被害は普通に起きてる。パスキー設定にかかる時間はせいぜい5分。5分の手間で数万円以上のリスクを避けられるなら、私はもう迷わずやる。

今日からできる対策、優先度順にまとめてみた

正直、全部いっぺんにやろうとすると疲れちゃうから、重要度の高い順にやることをまとめてみたよ。

最優先：パスキーと多要素認証

パスキーは、指紋や顔認証を使ったパスワードいらずの仕組み。偽サイトに情報を渡すこと自体ができない作りになってるから、どんなに巧妙なフィッシングサイトが来ても効かないの。GoogleやApple、ネット銀行・証券会社でまず設定してみて。パスキーが使えないサービスは、SMSや認証アプリを使う多要素認証（MFA）を必ずオンにしよう。

鉄則：リンクを踏まない、QRコードは触って確認

宅配便やAmazon、楽天からの通知っぽいメール・SMSが来ても、リンクは直接タップしない。必ず公式アプリか、ブックマークしておいた公式サイトから確認する癖をつけよう。QRコードを読み取るときは、シールが上から貼られてないか指で触って確認するのも忘れずに。

準備：家族の合い言葉とアップデートの自動化

電話でお金の話が出たら、一旦切って自分から元の番号にかけ直すルールを家族で決めておく。あと、スマホやパソコン、自宅のWi-Fiルーターの自動アップデートも必ずオンにしておいてね。

証券口座やチャットボットも他人事じゃない

証券会社をかたるフィッシングもすごく増えてるんだって。口座を乗っ取られて勝手に株の売買に使われる「相場操縦」の被害額は、2025年でなんと約7,393億円規模。桁が大きすぎて最初はピンとこなかったんだけど、調べてみて背筋が伸びた。

相場操縦の被害額を試算してみた

7,393億円って言われても実感がわかなかったから、日本の証券口座数（ざっくり約3,000万口座）で割って、1口座あたりに換算してみた。

7,393億円 ÷ 3,000万口座＝約24,643円

もちろん全口座が被害に遭ってるわけじゃなくて、一部の乗っ取られた口座に被害が集中してる計算なんだけど、それでも「私の口座がもし乗っ取られたら」って考えると他人事じゃないなと思った。証券口座もパスキーやMFAを必ず設定しておかないとね。

AIチャットボットにも要注意

企業のカスタマーサポートAIが、実は落とし穴になることもあるんだって。海外では、AIチャットボットが勝手に作った嘘の返金ポリシーを顧客が信じてしまい、企業側が裁判で負けたケースもあったらしい。私たち利用者側も「AIの回答をそのまま鵜呑みにしすぎない」意識は必要だなって思った。

ランサムウェアの侵入経路、実はここが多い

家庭だけじゃなくて、会社勤めの人にも知っておいてほしいのがランサムウェアの侵入経路。警察庁の報告によると、ランサムウェアの感染経路の8割以上がVPN機器やリモートデスクトップからなんだって。

自宅のWi-Fiルーターもチェックしてみた

「VPN機器」って聞くと会社の話に聞こえるけど、実は自宅のWi-Fiルーターも同じ構造のリスクを抱えてる。試しに自分の家のルーターの設定画面を開いてファームウェアのバージョンを確認してみたら、なんと半年以上アップデートしてなかった…。慌ててすぐに最新版に更新したよ。この記事を読んでる人も、ついでに確認してみてね。

在宅勤務の人が気をつけたいこと

在宅勤務でVPN経由で会社にアクセスしてる人は、会社支給のVPN機器のアップデート状況やパスワードの使い回しがないか、一度確認しておくと安心だよ。私も念のため会社のIT担当に「最近アップデートしましたか？」って聞いてみたら、ちゃんと最新化されてて一安心だった。

スミッシングと偽サイトのなりすましにも注意

宅配便やAmazon、楽天をかたるSMS（スミッシング）も、AIのおかげでどんどん自然になってる。最近は、リンクを開いた瞬間にスマホを乗っ取るマルウェアのダウンロードページに飛ばされるケースも増えてるんだって。

宅配便を装うSMSを実際にチェックしてみた

試しに、過去に届いた「不在通知」っぽいSMSを見返してみたら、送信元の番号が普段のヤマト運輸や佐川急便の通知番号と微妙に違うことに気づいた。文面だけ見ると本当に自然で、正直「これは気づけない人が多いだろうな」と思った。荷物を待ってるタイミングを狙って送られてくるから、心理的にも引っかかりやすいんだよね。

Amazonや楽天のなりすまし通知を見分けるコツ

フィッシング対策協議会の報告でも、Amazonや楽天を騙るフィッシングメールは常に報告件数の上位に入ってるみたい。「プライム会費の更新エラー」「ポイント失効」みたいな、ついあせって開いてしまう文面が多いから、私は「ポイントが失効します」系のメールは基本アプリでしか確認しない、って自分ルールを決めたよ。

会社員としてシャドーAIにも気をつけたい

自分は経営者じゃないから関係ない、と思ってたシャドーAIの話。でも会社員として無料の生成AIを何気なく使ってる人こそ、実は当事者なんだと気づかされた。

実際にあった情報漏洩の事例を確認してみた

過去には、海外の大手電子メーカーのエンジニアが自社のソースコードを無料の生成AIに入力してしまい、情報漏洩を引き起こした事例があったんだって。悪気はなくても「効率化のために入力しただけ」で会社に大きな損害を与えてしまう可能性があるってことだよね。

入力してはいけない情報をリスト化してみた

私も自分の業務を振り返って、入力しちゃいけない情報をリストにしてみた。①顧客の氏名・住所・電話番号などの個人情報、②会社の未発表の製品情報や事業計画、③自社の独自アルゴリズムやソースコード。この3つは、無料AIには絶対に入れないって決めた。会社が法人向けプランを導入してるなら、そちらを使うのが一番安心だね。

地域でも広がる被害と、公的機関の呼びかけ

「AIサイバー攻撃なんて、都会や大企業の話でしょ」って思ってたけど、実はそうじゃなかった。首都圏の一部自治体の警察がまとめたデータでも、ネットバンキングの不正送金などを含むサイバー犯罪の被害額が過去最多を記録した地域があるんだって。

身近な自治体の被害データを確認してみた

ある首都圏の自治体では、上半期だけで前年の同時期から数億円規模も被害額が増えたという発表があった。私は最初「地方の話なら関係ないかな」と思ってたんだけど、規模の大小はあれ、これは全国どこでも起こり得る話なんだと実感した。地元の警察のサイトを見てみると、フィッシングへの注意喚起がちゃんと更新されてて、意外と身近な情報源として使えることに気づいたよ。

警察や公式窓口への相談も選択肢に入れておく

もし怪しいメッセージが届いたり、実際にお金を送ってしまったりしたときは、一人で抱え込まずにすぐ警察のサイバー犯罪相談窓口やIPA（情報処理推進機構）に相談するのが一番。私も念のため、地元の警察のサイバー犯罪相談窓口の連絡先をスマホのメモにいれておいたよ。何かあったときに慌てないための小さな備えって、意外と大事だと思う。