＜ニュース概要＞
今週は、守る側と作る側の両方から、セキュリティの数字が出てきました。1つは、9月末から10月初めにかけて国内で大規模な顧客情報の漏えいが続けて公表されたこと。もう1つは、AIに任せて作られた公開アプリを調べたところ、9割に脆弱性があったという研究です。「攻める側がAIで速くなる」「作る側もAIで速くなるが、安全は後回しになりがち」という2つの流れが重なっています。

1. タイムズカー、焼肉きんぐ、infoQ、MrMax——1週間余りで4社が大規模な漏えいを公表

2026年9月末から10月初旬にかけて、国内で顧客情報の漏えいの公表が相次ぎました。カーシェアのタイムズカーは、退会者を含む約660万件のアカウント情報が第三者に取得されたと9月28日に発表。運転免許証の画像など本人確認書類の情報も含まれています。焼肉きんぐ（物語コーポレーション）は10月5日、公式アプリへの不正アクセスで会員約1,079万件の氏名・メールアドレス・電話番号が漏えいしたと発表。アンケートサイトのinfoQ（GMOリサーチ&AI）は同じ10月5日、保有していた個人情報の全件にあたる最大約95万件が対象で、ポイント約287万円分がギフトコードに不正交換されたと発表しました。ディスカウントストアのMrMaxは10月6日、アプリとオンラインストアの会員最大約174万人の情報が流出した可能性を公表しています。原因はそれぞれ「ソフトウェアの脆弱性の悪用」「サービスを構成するソフトの機能の不正利用」などで、4件ともAIの利用が原因と確認されたわけではありません。ただ、攻撃側がAIで侵入口を探す速度を上げている状況は変わらず、「対策をしている」ではなく「点検・検知・遮断をどのくらいの周期で回しているか」が問われるようになっています。

出典：＠IT・2026年9月30日（タイムズカー）／2026年10月7日（infoQ）、ビジネス+IT・2026年10月6日（焼肉きんぐ）、Rocket Boys・2026年10月6日（MrMax）
https://atmarkit.itmedia.co.jp/ait/articles/2609/30/news038.html
https://www.sbbit.jp/article/cont1/187306
https://atmarkit.itmedia.co.jp/ait/articles/2610/07/news035.html
https://rocket-boys.co.jp/?p=42595

2. 研究者ら、AIに任せて作られた公開アプリ200件のうち182件（91％）に脆弱性

Microsoftやシンガポール国立大学の研究者らが、Claude CodeやLovableなどのAIに主に書かせて作られた（いわゆる「バイブコーディング」の）公開Webアプリを調べた論文「Understanding the (In)Security of Vibe-Coded Applications」の最新版が、2026年9月に公開されました。GitHub上の約9,000件から実際に公開運用されている200件を抽出して検査したところ、182件（91％）に少なくとも1つの脆弱性があり、見つかった1,186件のうち約66％が「重大」または「高」の深刻度でした。多かったのは、権限の確認がない、利用者の入力をそのまま扱う、ログインの作りが弱い、といった基本的なものです。原因を分析すると、約63％は「安全性の要件をそもそも意識していなかった」、約23％は「機能を優先して安全を後回しにした」、約14％は「最初に決めた安全のルールを途中で忘れた」でした。なお、91％はこの調査対象200件の中での比率で、AIで作られたアプリ全体の割合ではありません。人が書いたコードとの比較もしていません。それでも、社内で「ちょっとしたツールをAIに作ってもらう」ことが普通になった今、動くことの確認とは別に、「誰がどこまで見られるか」の確認をどこに組み込むかは、作る側全員の課題です。

出典：SmartScope（arXiv:2606.23130 v4の解説）・2026年10月7日
https://smartscope.blog/en/blog/vibe-coding-90-apps-have-vulnerabilities-but-production-2026/