「AIを使ったサイバー攻撃」のニュースを個人はどう受け止めるべきか――調査機関の観測と、私たちの対策が変わる部分・変わらない部分

1導入：「AIによる攻撃」と聞くと、個人の対策はすべて無力になるのか？

2026年10月、中国で開発されたAIを用いる侵入テスト用ツール「ARTEX」が実際のサイバー攻撃で悪用されているという海外調査機関の分析 [1] や、日本企業を狙う攻撃元で同ツールを確認したという国内報道 [2] が相次ぎました。同じ時期に、国内の会員サービスでの不正アクセス公表や、証券口座・クラウド上の取引ツールに関わる不正操作の公表が重なったため [3]、「AIがどんな防御も自動で突破して、個人の資産を次々に奪っているのではないか」と強い不安を感じた方もいるかもしれません。

しかし、セキュリティ調査機関や各事業者の公表資料を一つずつ確認すると、「AIツールの悪用が観測されたこと」と「国内の各企業・各口座で起きた個別の事案」が、すべて1本の原因でつながっているわけではありません。また、攻撃側にAIが使われたからといって、私たちが手元で行う管理や確認がすべて無意味になるわけでもありません。

大切なのは、「AIだから何でもできる」という漠然としたイメージを切り離し、①調査機関が実際に観測した事実と、②個人の手元で変えるべき行動・変えなくてよい基本行動を分けて整理することです。

2公表資料で確認できている「AI悪用ツール（ARTEX）」の観測と留保

2026年10月25日時点で確認できている資料では、「ARTEX」に関して以下の内容が報告されています。同時に、この記事で勝手に結び付けてはいけない限界（留保事項）も明確に存在します。

3AI悪用で「変わること」と、個人の対策で「変わらないこと」

4AI時代のセキュリティニュースと向き合う「4つの確認項目」（個人向けチェックリスト）

1. 確認1：「AIによる攻撃だから何をしても無駄」と諦めて、基本設定（パスキー・二要素認証等）を外していないか
   判断の目安：攻撃側がAIを使っていようといまいと、パスワードの使い回しを狙う攻撃や偽サイトへの誘導に対して、パスキー（偽サイトに強い）や二要素認証（パスワードだけより安全）が有効な防御であることは変わりません [4][5]。
2. 確認2：「文面が自然な日本語だから本物の連絡だ」と判断していないか
   判断の目安：個人に届くメールやSMSの文面が自然になり、「文章の不自然さ」では見分けにくくなることは以前から指摘されています。ARTEXのような侵入テストの自動化と、生成AIによる文面作成は別の話題ですが、どちらも「文面の見た目で判断しない」という手順の重要性を高めます。「届いたメッセージのリンクからはログインしない（いつもの公式アプリ・ブックマークから開く）」という手順を徹底します [5]。
3. 確認3：「AIで企業のシステムが破られた」という話と、「自分の口座の履歴確認」を切り分けて行動できているか
   判断の目安：企業側のシステム点検は事業者の責任で行われ、事業者が不正注文を検知して利用者に連絡することもあります（岩井コスモ証券は10月14日に対象顧客へ個別連絡 [3]）。それでも、自分の口座の注文履歴（取消・未約定を含む）やログイン履歴を日常的に見て、異変に早く気づけるのは利用している本人です。
4. 確認4：SNSの噂や過激な見出しではなく、事業者・公的機関の「発表日と対象範囲」を確認したか
   判断の目安：「〇〇グループがAIで全滅」「あの認証も突破された」といった根拠のないまとめ情報に振り回されず、公式サイトの「何月何日時点の第何報か」「どのサービスが対象か」を確認します。