自社サイトが無傷でも、顧客が偽サイトで被害に遭えば、矢面に立つのはブランド側です。「注文したのに届かない」という問い合わせが、身に覚えのない注文について届く。そんな場面は、もう他人事ではありません。2026年10月には、相次ぐ不正アクセスや漏えい情報を悪用した二次被害を受けて、政府が緊急対策パッケージの取りまとめを表明しました。公表データと実例から、AIサイバー攻撃がEC・ブランドメーカーに与える影響と対策を整理します。

なぜ今、EC・ブランドメーカーが警戒を迫られているのか？

結論から言うと、不正アクセスの被害は過去最多ペースで、EC事業者の会員情報も実際に流出しています。ただし、AIの関与が確認された事案は限られ、「疑い」の段階が多い点も押さえておきたいところです。

2026年の主な数字

指標	数値	出典・時点
国内のランサムウェア被害報告	123件（半期として過去最多）	警察庁・2026年上半期
脆弱性探索などの不審アクセス	1IPアドレス・1日あたり1万3,687件（前年同期比50.7%増）	同
フィッシング報告件数	約73万件	同
クレジットカード不正利用の被害額	約221億円（前年同期比30%減）	同
2025年通年のカード不正利用被害額	510億5,000万円（前年比8.0%減）	日本クレジット協会

警察庁の報告では、ランサムウェア被害の123件は、統計を取り始めた2020年下半期以降で半期の最多です。脆弱性探索などの不審アクセスは、1日・1IPアドレス当たり1万3,687件で、前年同期比50.7%増でした。2025年通年のカード不正利用被害額は、前年比8.0%減の510億5,000万円です。内訳では、番号盗用が475.4億円で、全体の93.1%を占めます。

数字の読み方には、注意が必要です。カードの不正利用は減っていますが、侵入や漏えいは増えています。「すべての脅威が右肩上がり」と書くと、正確さを欠いてしまうのです。

直近1か月に何が起きたのか？

10月だけでも、EC・小売に関わる事案が続きました。

アンケートサイト「infoQ」では、最大94万8,498件の個人情報が対象となり、ソフトウェアの脆弱性を悪用して侵入されたことが確認されています。一部会員のポイント計286万円分が、Amazonのギフトコードに交換されていました。会社側は全額補償するとしています。同じく10月6日には、ミスターマックス・ホールディングスが、アプリとオンラインストアの会員の電話番号やメールアドレスなど、最大173万5,154人分の流出を公表しました。

GMOインターネットグループでは、「お名前.com デスクトップクラウド」への不正アクセスが10月20日に確認され、攻撃者が10月27日に顧客の個人情報1人分を公開しました。これはEC事業とは別の事案ですが、大手のグループでも防ぎきれていない現実を示しています。

AIはどこまで関与しているのか？

AIの関与は、慎重に切り分ける必要があります。警察庁は、高性能AIが攻撃者に悪用されると、攻撃がより高速かつ大規模になるリスクを指摘しています。古川デジタル大臣は、高性能AIが使われた疑いのある事案が出ているとの報告を受けていると述べました。 

どちらも「リスク」「疑い」の表現です。個別の事案でAI関与が公式に確定したものは、今回の調査では確認できませんでした。この記事も、AIの直接関与を断定する書き方はしていません。

偽サイトとフィッシングは、AIでどう変わったのか？

ポイントは3つ。狙われるのは誰もが使うブランド、見破る手がかりが減っていること、そして件数の減少が改善を意味しないことです。

狙われるのは「誰もが使うブランド」

2026年7月のフィッシング報告は6万6,119件でした。Amazonをかたるものが約37.0%、Appleが約11.8%、セゾンカードが約7.7%を占めています。悪用されたブランドは101件で、そのうちEC系は10ブランドでした。2024年の報告は約170万件で、前年より約50万件増えています。 

大手ブランドが中心です。けれども、攻撃者がECの顧客の「買い物の習慣」を知り尽くしていることも、見えてきます。

見破る手がかりが減っている

意外かもしれませんが、見分けのヒントは減っています。フィッシング対策協議会によると、2026年6月に届いたフィッシングメールの約92.2%は、実在サービスのドメインを差出人にかたる「なりすまし」ではなく、独自ドメインからの送信でした。そのうち約35.5%は、送信ドメイン認証のDMARCにも成功していたとのことです。

つまり、認証に成功したメールが安全とは限りません。

同協議会は、6月の報告件数が前月比で約42.6%減った一方、重複を除いた偽サイトのURL件数は約3.2%増えたと説明しています。件数が減っても、対策をすり抜ける新しい手口が次々と使われている、という見方です。

AIによる量産の実例も、すでにあります。Netcraftは2023年、攻撃者がAIを使って暗号資産の利用者向けに、1万7,000を超えるフィッシングページを作った事例を確認しています。

ブランド側に起きること

偽サイトで被害に遭った顧客は、「あのブランドで騙された」と受け止めます。ブランド側に過失がなくても、問い合わせは自社に届くのです。これは公表データではなく、筆者の整理です。

AI検索やチャットボットが、偽サイトを案内することはあるのか？

多くの場合「AIは公式サイトを教えてくれる」と思われがちですが、実験では約3分の1が、ブランドの所有ではないドメインでした。

Netcraftの実験結果

項目	結果
実験の対象	GPT-4.1系モデルに、50ブランドのログインページを質問
得られたホスト名	131個
ブランドの正しいドメイン	66%
未登録・休眠のドメイン	29%
無関係な別企業のドメイン	5%
フィッシングサイトの案内	1件（Perplexityが、偽のウェルズ・ファーゴのログインページを提示）

131のホスト名のうち34%は、ブランドが所有していないドメインを指していました。内訳は、未登録・休眠が29%、無関係な企業の稼働サイトが5%です。小規模なブランドほど、学習データに現れにくいため、誤りが多かったとされています。

この実験には、限界があります。2025年の米国ブランド中心の実験で、日本の事業者での同様の検証は確認できていません。実際に偽サイトへ誘導された被害規模も、確認できていないのです。

「AI SEO」という新しい手口

Netcraftは、攻撃者が従来の検索対策だけでなく、チャットボットの回答に拾われやすいページを作り始めていると指摘しています。AIが存在しないドメインを答え、攻撃者がそのドメインを取得して待ち構えることも、懸念されています。AIの回答は、ドメインの信頼性や検索スニペットといった従来の手がかりを取り除いてしまいがちだ、と同社は説明しています。

だからこそ、公式サイトのURLを自社の側から、はっきり示しておく意味があります。

なりすまし広告は、ブランドにどう波及するのか？

結論として、公的資料で確認できる被害の中心は、著名人なりすましの投資詐欺です。EC向けの偽セール広告の統計は確認できていません。ただし、ブランド名や創業者の顔・声が使われうる構造は同じです。

2026年8月の7府省庁要請

警察庁など7府省庁は2026年8月7日、LINEヤフー、Meta、TikTok、Googleなどに、なりすまし詐欺広告への対策強化を文書で要請しました。要請は3点で、広告主の本人確認の確実な実施、広告の透明性の向上（広告主の名称や所在地、広告である旨、生成AI利用の有無などの確認）、削除要請への対応徹底です。実施内容の報告期限は2026年10月16日、実施結果は2027年3月16日とされています。

さらに2026年5月12日には、自民党のプロジェクトチームが、広告主の本人確認や削除をプラットフォーム事業者に義務づける法整備を求める提言案をまとめました。

事業者が確認したいこと

自社名や商品名を使った偽広告が出ていないか。見つけたとき、誰がどの窓口に報告するのか。これを平時に決めておくだけで、初動は変わります。報告先は、各SNSの報告機能が基本です。要請の文書には、インターネット・ホットラインセンターなどからの削除要請への対応も含まれています。

アカウント乗っ取りや情報漏えいは、ECに何をもたらすのか？

ポイントは3つ。会員情報の流出、ポイントなどの不正交換、そして流出情報を使った二次被害です。

実例から見える被害の形

先に挙げた2件を、あらためて整理します。

事案	被害	公表されている原因・対応
infoQ	最大94万8,498件の個人情報。一部会員のポイント286万円分がAmazonギフトコードに交換	ソフトウェアの脆弱性を悪用して侵入。10月3日にポイント交換を停止
ミスターマックス	アプリ・オンラインストア会員の最大173万5,154人分の電話番号・メールアドレスなど	本稿の調査では、原因とAIとの関係は確認できていません

被害企業は補償や再発防止に追われており、急増の背景としてAIの普及が影を落としているとも指摘されています。ただし「指摘されている」段階で、個別の事案との因果は確認できていません。

不正ログインも増えている

IPAの安心相談窓口には、2025年7月に不正ログインの相談が144件寄せられ、過去最多となりました。IPAは対策として、パスキーや多要素認証の設定を呼びかけています。

EC事業者には、決済面の義務もあります。経産省が所管する「クレジットカード・セキュリティガイドライン」では、EC加盟店にEMV 3-Dセキュアの導入と、適切な不正ログイン対策（ログイン時の本人認証など）の実施が求められています。2025年4月以降は、全てのEC加盟店に、チェックリストに沿った脆弱性対策も求められています。 

被害は金銭だけで終わるのか？ブランドに残る3つの影響

多くの場合、被害は「漏れた件数」で語られますが、実際には、顧客の信頼、対応コスト、社内の運用にまで及びます。

顧客の信頼が揺らぐ

偽サイトや偽広告で被害に遭った顧客は、ブランドに距離を置くかもしれません。これは筆者の見立てです。公表データで直接示せる数字は、確認できませんでした。

問い合わせと対応のコストが膨らむ

被害の通報、偽サイトの調査、削除の依頼、顧客への注意喚起。本来の業務ではない対応に、時間と人手が取られます。先のinfoQの例のように、補償を全額負担するケースもあります。

社内のAI利用が「内側の穴」になる

IPAが2026年1月に公表した「情報セキュリティ10大脅威 2026」では、組織向けの脅威として「AIの利用をめぐるサイバーリスク」が初めて選ばれ、3位に入りました。 

サイバーセキュリティクラウドの2026年4月の調査（会社員300名）では、67%が業務で生成AIを使っていました。約15%が、会社の許可がない、またはルールが不明確なまま使う「シャドーAI」状態で、利用者の約35%がヒヤリハットを経験しています。未発表の新作デザインや価格表を、個人アカウントのAIに貼り付けてしまう。そんなリスクは、ブランドメーカーにとって他人事ではないでしょう。

今日から何を確認すればよいのか？

結論として、優先すべきは「外側の守り」「内側の守り」「相談先の確保」の3つです。まずは、できることから順に確認しましょう。

外側の守り：偽サイト・偽広告への備え

確認項目	具体的な確認ポイント
①公式URLの明示	公式サイト、メール、SNSのプロフィールに正規ドメインを載せているか
②送信ドメイン認証	自社ドメインでSPF・DKIM・DMARCを設定しているか
③偽サイト・偽広告の監視	自社名・商品名で、定期的に検索や確認をしているか
④通報・削除の手順	誰が、どこへ、何を証拠に報告するかを決めているか
⑤顧客への注意喚起	「偽サイトにご注意ください」のページや案内を用意しているか

※⑤について、Netcraftは、信頼できるURLを顧客に伝えておくことを、ブランドに勧めています。

内側の守り：アカウント・決済・社内AI

確認項目	具体的な確認ポイント
①ログイン保護	パスキーや多要素認証を、会員と管理者アカウントに導入しているか
②3Dセキュアと不正ログイン対策	EMV 3-Dセキュアと、ログイン時の本人認証を実施しているか
③脆弱性対策	ソフトウェアを最新に保ち、管理画面のアクセスを制限しているか
④ポイントやギフト交換の監視	異常な交換を検知し、停止を判断できる体制があるか
⑤社内のAIルール	使えるツールと、入力してはいけない情報を明文化しているか
⑥相談先	被害時の連絡先を、社内で共有しているか

※④について、infoQは10月3日、問い合わせを受けた当日にポイント交換を止めています。

公的な支援はどこまで使えるのか？

経産省は10月27日、中小企業・小規模事業者向けの無料「サイバーセキュリティ特別相談窓口」を設置しました。窓口は、各都道府県の「よろず支援拠点」などと、中小機構の「IT経営サポートセンター」です。政府は、「サイバーセキュリティお助け隊」の体制や支援策、相談窓口の拡充も進める方針です。緊急対策パッケージの中身は、11月上旬に明らかになる見込みです。最新の内容は、公開後に確認してください。 

偽サイトに商品画像を使われる前に、何を備えておけばよいのか？

ここまでの話を踏まえると、確認すべきはこの3点に絞られます。

• 商品画像の元データと、撮影の記録を、自社で管理できているか
• 公式の商品写真の見せ方が統一され、顧客が違和感に気づけるか
• 商品の入れ替わりに合わせて、画像を更新できる体制があるか

先に、はっきりさせておきます。画像の管理は、セキュリティ対策の代わりにはなりません。上のチェックリストの技術的な対策が、先です。そのうえで、「正規の素材が整っている」ことは、偽サイトへの対応で役立つ場面があります。

たとえば、偽サイトの削除を依頼するとき、自社が元の撮影データと撮影日を示せれば、説明がしやすくなるでしょう。権利関係は契約で決まるため、撮影を依頼する際に、納品形式や元データの扱いをあらかじめ確認しておくと安心です。法的な手続きは、弁護士などの専門家にご相談ください。

私たちの運営する「物撮り.jp」は、白背景のEC向け商品撮影を1カット550円から、全国どこからでも非対面でお受けしています。商品点数の多い商品を、同じルールで撮影したいときに向いています。ライフスタイル・D2C向けの「フォトル」は、使用シーンや世界観の撮影を担当します。モデルキャスティング、モデル撮影、動画制作も、用途に合わせてご相談いただけます。

定型の商品カットは物撮り.jp、世界観づくりはフォトル。その役割分担で、正規の素材を整えていく考え方です。一度見てみる価値はあるでしょう。料金や条件の最新情報は、各サービスページでご確認ください。

AIサイバー攻撃についてのよくある質問

AIサイバー攻撃で、何が新しくなったのですか？

偽サイトやメールを作る速度と量が上がるおそれがある点です。ただし、個別の事案でAI関与が公式に確定したものは、今回の調査では確認できませんでした。警察庁は、高性能AIの悪用リスクを指摘しています。

自社の偽サイトを見つけたら、どうすればよいですか？

画面の保存とURLの記録で、証拠を残してください。そのうえで、サイトの管理事業者や関係機関への通報を検討します。フィッシング対策協議会は、フィッシングに関する情報の収集と提供を行っています。法的な対応は、専門家へご相談ください。

パスキーの導入は義務ですか？

義務とは確認できていません。経産省のガイドラインは、EC加盟店に「適切な不正ログイン対策（ログイン時の本人認証など）」を求めています。IPAは、パスキーや多要素認証を推奨しています。

小規模なECは、どこに相談できますか？

2026年10月27日に、無料の「サイバーセキュリティ特別相談窓口」が設置されました。都道府県のよろず支援拠点や、中小機構のIT経営サポートセンターで相談できます。

まとめ：EC・ブランドメーカーが今すぐ取るべき行動

これまでの内容を整理します。

• 現状：警察庁によると、2026年上半期のランサムウェア被害は123件で、半期として過去最多です。カード不正利用の被害額は減少傾向で、数字は一方向ではありません。
• 実例：infoQで最大94万8,498件、ミスターマックスの会員で最大173万5,154人分が流出しました。ポイントの不正交換や、二次被害も起きています。
• AIとの関係：AI関与が確定した事案は限られ、リスクや疑いの段階です。断定は避けるべきです。
• 偽サイト・フィッシング：2026年7月は6万6,119件で、Amazonをかたるものが約37.0%。独自ドメインからの送信が増え、認証成功も安全の証明になりません。
• AI検索：Netcraftの実験では、ログインURLの34%がブランドの所有ではありませんでした。日本での検証は確認できていません。
• 偽広告：7府省庁が2026年8月7日に要請。公的に確認できる被害の中心は、著名人なりすましの投資詐欺です。
• 対策：パスキーや多要素認証、EMV 3-Dセキュア、脆弱性対策、ポイント交換の監視、社内AIルール。無料の相談窓口も使えます。

これから行うべき行動は3つです。公式URLの明示と、偽サイト・偽広告の通報手順を決めること。ログイン保護と不正ログイン対策を点検すること。社内で使える生成AIと、入力禁止情報を明文化することです。

商品画像の撮影や整備のご相談は、物撮り.jp、フォトルへお気軽にどうぞ。