狙われるのは人だけではない 調査が示す「AIエージェントのID」管理不備の末路：復旧費は平均2億6300円
AIエージェントの導入が進む裏で、システム間の連携に使われる「非人間アイデンティティー」（NHI）が攻撃の新たな入り口として悪用されている。企業が直面している“アイデンティティー管理の死角”とは。
現代のビジネスの現場において、システムやデータへのアクセス権を証明するアイデンティティー情報は、サイバー防衛の最前線でありながら、最も狙われやすい脆弱（ぜいじゃく）な境界だ。クラウドサービスの利用拡大やテレワークの定着に伴い、社内LANの境界線が曖昧になっている。システムにアクセスする人だけでなく、システム同士が自動で連携するために使われる「非人間アイデンティティー」（NHI：Non-Human Identity）が急速に拡大している。その結果、攻撃者にとっての侵入経路も飛躍的に広がっている状況だ。
セキュリティベンダーSophosは2026年第1四半期（1〜3月）に、米国、日本、英国など17カ国におけるITおよびサイバーセキュリティの意思決定者5000人を対象とした調査を実施し、その結果を「State of Identity Security 2026 Report」にまとめた。それによると、調査対象企業の7割以上（70.9％）が、過去1年間で少なくとも1回のアイデンティティー関連のセキュリティ侵害を経験したと回答している。
被害を受けた企業のうち14.4％は、システムに深刻な被害が発生する前に攻撃の兆候を捉えられず、その結果として攻撃を阻止できなかった。データの暗号化や暴露といった致命的な被害に発展し、平均164万ドル（約2億6300万円）に上る復旧費用の支出を余儀なくされている。
なぜ攻撃の初期段階で阻止できないのか。アイデンティティー侵害がランサムウェア（身代金要求型マルウェア）被害に直結する理由や、攻撃の新たな侵入口になったNHIの管理における課題について、調査結果を基に解説する。
ますます管理不能になる「非人間ID」
調査結果における注目点は、アイデンティティーに対する攻撃とランサムウェア感染の間に、明確かつ強力な相関関係が見られたことだ。過去1年間にランサムウェアの被害に遭った企業のうち、66.5％が「ランサムウェアのインシデントと、自社が経験した最も重大なアイデンティティー攻撃は同一の出来事だった」と回答した。単なるパスワードの漏えいや認証情報の窃取が、最終的にデータの暗号化や業務の全面停止を引き起こすランサムウェア攻撃の直接的な侵入経路になっていることが分かる。
企業の規模によって攻撃を検出する能力に格差があることも判明した。従業員100〜250人の小規模な企業では、19.4％が攻撃を検出・阻止できなかったのに対し、1001〜3000人の中規模企業ではその割合が11.3％にとどまった。この結果は、人員や予算が限られている企業ほど、セキュリティ監視の体制構築に苦慮していることを示している。業界別に見ても、エネルギー・公益事業（80.3％）や中央政府（78.4％）での侵害発生率が高く、重要インフラを標的とした攻撃が活発化している実態がうかがえる。
攻撃者が侵入に成功した根本的な要因を分析すると、従業員がフィッシング詐欺などでだまされて認証情報を渡してしまう「ヒューマンエラー」（42.7％）に次いで、「NHIの管理不備」が40.6％を占め、第2位となった。
NHIは、API（アプリケーションプログラミングインタフェース）キー、サービスアカウント、クラウドサービスと連携するための認証トークンなど、人の介入なしにシステムやソフトウェアがデータや機能にアクセスするためのデジタルな認証情報だ。業務の自動化やAIエージェントの導入が急速に進んだことで、企業システムにおけるNHIの利用範囲は大きく広がっている。Sophosはレポートにおいて、自律的に動作するAIエージェントがタスクを処理するために新しいAIエージェントを自動で生成する現象を指摘している。そのたびに人の監視が及ばない認証情報が次々と作られるという、これまでのセキュリティ枠組みでは対処が困難な新たな課題を生んでいる。
そもそもNHIは、システム間の連携をスムーズにするために、広範かつ永続的なアクセス権が付与されることが一般的だ。それにもかかわらず、従業員のアカウントのように退職時に削除されるといった明確なライフサイクルがなく、監視や管理が行き届きにくいという特徴がある。今回の調査において、NHIやサービスアカウントの権限を見直し、ローテーション（変更）や定期的な監査を継続的に実施している企業はわずか11.1％にとどまった。
調査データは、NHIの管理が不十分な企業が受ける被害の大きさも示している。NHIの適切な権限管理ができていない企業は、攻撃者によって支払い先が変更されるなどの金銭的な窃取被害に遭う確率が平均よりも22.0％高く、データの暴露を盾に取られた恐喝の被害に遭う確率も平均よりも24.4％高いことが判明した。被害を受けた場合の復旧費用も、平均の164万ドルと比較して約15万ドル高いという結果になった。
基本的な防衛策の徹底が遅れている実態も浮き彫りになった。異常なログイン試行をリアルタイムで継続的に監視している企業は全体の24.1％に過ぎず、半数以上（50.6％）の企業は3カ月に1回、あるいはそれ以下の頻度でしかログを確認していない。これでは、攻撃者がシステム内に侵入し、長期間にわたって潜伏していても気付くことができない。
アイデンティティーを狙う脅威は今後も高度化、自動化することが想定される。企業は、多要素認証（MFA）の導入や特権アクセスの厳格な管理といった基本的な対策を徹底する必要がある。それに加えて、社内に散在するNHIを棚卸しし、不要な権限の削除や定期的な監査を日常的な運用プロセスに組み込むことが急務だ。アイデンティティーの保護は、システム導入時の一過性のプロジェクトではなく、絶えず変化するシステム構成や脅威の状況に合わせて継続的に監視、管理すべき重要な業務になっている。
Copyright © ITmedia, Inc. All Rights Reserved.
本記事は制作段階でChatGPT等の生成系AIサービスを利用していますが、文責は編集部に帰属します。