AIサイバー攻撃の公開書簡｜中小企業は何を見るか

昨日、OpenAIやGoogle、Microsoftを含む100社以上が、1通の公開書簡に署名しました。内容は「AIを使ったサイバー攻撃が本格化する前に、防御側を急いで立て直そう」というものです。

大きなニュースですが、宛先は中小企業ではありません。それでも、この書簡から持ち帰れるものが1つだけあります。

何が起きたか

2026年8月27日、OpenAIが呼びかけた公開書簡「A call for collective action on cyber defense」が公開されました。全文と署名一覧はOpenAIの公式ページで読めます。

署名しているのはOpenAI、Anthropic、Google、Microsoft、AWS、Cisco、Cloudflare、IBM、Oracle、Visa、Mastercard、Citiなど。日本からはNTT DATAが入っています。2026年8月28日時点で128社・団体です。公開当日の報道時点では116社だったので（CNBC）、いまも増えています。

書簡の中心にあるのは1行です。

We have a limited window to strengthen cyber defenses. （防御を固められる時間は限られている）

これから数か月のうちに、AIを使った攻撃が広範囲かつ高度になる。だから病院や水道といった重要インフラを含めて、いま塞げる穴を塞いでおこう。求めているのは、全組織・セキュリティ企業・政府・AI開発企業の4者それぞれの行動です。

中小企業にとって何が変わるか

まず、義務は1つも増えていません。

これは法律でも制度変更でもなく、民間企業が出した声明です。強制力はなく、日本の中小企業に今日から発生する締切もありません。「対応しないと違反になる」たぐいの話ではないので、そこは切り分けてください。

そのうえで、書簡が挙げている「穴」のリストが具体的です。長年放置されたバグ、過剰な権限、設定ミス、更新されていないソフト、弱い認証、古いシステムに溜まった負債。

このうち従業員20人の会社にそのまま当てはまるのは、太字にした2つです。残りは、そもそも自社で持っていないか、ベンダーの領分です。

「攻撃が高度になる」が意味していること

AIで変わるのは、攻撃の入口の質です。

これまで不審なメールは、日本語の不自然さで見分けられました。その手がかりは弱くなります。文面が自然になるだけでなく、公開情報を読んだうえで、実在する取引先の名前と実際の案件に合わせた文面が、安く大量に作れるようになるためです。

つまり「変な日本語かどうかで見分ける」という社内の慣習が効かなくなる。ここは研修より、入口を塞ぐほうが確実です。

買い足す話ではない

もう1つ、読むときの前提として知っておいたほうがいいことがあります。署名企業には、CrowdStrike、Palo Alto Networks、Zscaler、Sophos、Fortinetなど、セキュリティ製品を売る会社が多数含まれています。

だから内容が嘘だ、という話ではありません。危険が誇張されているとも思いません。ただ、この書簡を読んで最初にやることが「製品の見積もりを取る」になるのは、順番が違います。

書簡自身も、買い足せとは書いていません。書いてあるのは「いちばん危ない弱点を先に直せ」「最小権限とアクセス管理を組み込め」です。穴を塞ぐ話であって、上に何かを載せる話ではない。

いま何をすべきか／何もしなくていいか

真ん中に当たる場合、やるのは全ツールの棚卸しではありません。お金と個人情報に触るものだけに絞ってください。

• 銀行・クレジットカード・会計ソフト
• 顧客情報や履歴書が入っているもの
• 給与・人事のシステム

この3つについて、次の2点だけ見ます。

1. 辞めた人のアカウントが、まだ生きていないか
2. 2要素認証（ログイン時にスマホの確認が入る設定）が、全員分オンになっているか

書簡が言う「過剰な権限」と「弱い認証」を、人手の足りない会社の言葉に置き換えると、実際にはこの2つになります。半日で終わりますし、費用はかかりません。

派手ではありませんが、AIで安く大量に作られるようになるのは攻撃の入口の側で、鍵そのものが破られるわけではない。入口が塞がっていれば、文面が上手くなっても入れません。

ついでに済むこと

もし使われなくなったツールが残っているなら、そのアカウントも同時に消えます。誰も見ていないツールは、誰も異変に気づかないツールでもあります。契約を畳む判断とアクセスの整理は、同じ日にやってしまうのが早いです。

関連するもっと詳しい話

• 生成AIの社内ルールは3つで足りる｜急ぐ義務はまだない — 「使うツールを決める」が、そのままアカウント管理の前提になります
• ツールが定着しない｜直すか捨てるかの決め方 — 使われていないツールを畳むときの、データと契約の手順

社内でどのツールに誰が入れるのか分からない、という状態からの棚卸しは、お問い合わせからご相談ください。