災害時こそ狙われる→サイバー×物理災害「複合リスク」の現実｜2026年8月第1回
サイバーレジリエンス「地震対応中にサイバー攻撃も来たら？」
この問いに答えられる企業は、まだほとんどありません。複合リスクへの備えを、一緒に考えましょう。
2026年8月5日（水）｜Vol.5（8月第1回）
🔴 災害時こそ狙われる
サイバー×物理災害「複合リスク」の現実
先週の特別号では、令和8年熊本地震から「IT-BCPの盲点」を考えました。
今週はその続きとして、「災害が起きた瞬間、攻撃者も動き始める」という
複合リスクの現実をお伝えします。
本記事に掲載しているのは、警察庁・専門機関・報道機関が確認・公表した情報のみです。
確信度の低い情報は掲載していません。
🗒️ この記事の3行まとめ
- 熊本地震発生の翌日から、警察庁が確認した便乗詐欺・偽情報が複数手口で拡散。企業の業務端末も標的になりうる。
- 生成AIを使った偽動画が「数万回再生」——国立情報学研究所の専門家が「明らかにAI生成」と判定した事例を含む。
- 災害時はIT担当者が被災対応で手薄になる。平時より「検知・対応の遅延」が起きやすく、攻撃者にとって好機となる。
📍 SECTION 01｜地震発生の翌日に何が起きたか
令和8年熊本地震（2026年7月28日16時27分発生）の翌日、警察庁は公式Xで「震災に便乗した悪質事犯」への注意喚起を発出しました。以下は、確認・報道された事実のみです。
警察庁（2026年7月29日）が公式Xで確認・注意喚起した手口：
- 1公的機関・団体をかたり、義援金名目で金銭をだまし取る
- 2被災者宅を訪問し、家屋修繕と称して不安をあおる
- 3SNS投稿やメールに添付したQRコードから詐欺サイトへ誘導
- 4日本赤十字社等をかたるなりすましメールでURLクリックを誘導
- 5被災者を装い電子マネーの送付を求める
イオンモール熊本の爆発映像を装った生成AI偽動画がSNSに投稿されました。 国立情報学研究所の越前功教授がFNNプライムオンラインの取材に対し、 映像内の複数の矛盾点（路面の変化・逆歩行の不自然さ・消防車の色の違い）を根拠に 「明らかにAIで作られたものと考えていい」と判定しています。
また、YouTubeでは報道機関のニュースを装う生成AI偽動画が投稿され、 NHKの取材によれば数万回再生されました。
防災・危機管理サービスのスペクティ（2026年7月29日）が確認： 「氏名以外はほぼ同一の文面」「同じ住所」を記した偽の救助要請が 複数のアカウントから発信されていることを確認し、注意喚起しました。
こうした投稿は消防や警察の救助リソースを消耗させる影響があり、 実際の被害者への対応遅延につながるリスクがあります。
📍 SECTION 02｜なぜ「災害時」にサイバーリスクが高まるのか
「IT担当者が被災対応で手薄になっている」「社員が不安な状態でメールを確認する」「義援金への善意が判断力を鈍らせる」——これらはすべて、攻撃者にとっての好機です。
| リスク項目 | 平時 | 災害時に加わる要因 |
|---|---|---|
| フィッシングメール | 通常の警戒水準 | 「義援金」「支援情報」を装ったメールへの警戒心が低下高リスク |
| 偽情報・なりすまし | 公式・非公式の区別が比較的つきやすい | 情報が錯綜し、生成AI偽動画・偽SNSが信じられやすい高リスク |
| IT部門の対応体制 | 通常の監視・対応体制 | BCP対応・施設確認・安否確認で監視が手薄になる中リスク |
| 委託先・取引先 | 通常の連絡・監視が可能 | 被災地の委託先がシステム停止・連絡不通になる可能性中リスク |
「Kaseya事案」から学ぶ：対応中にも攻撃は来る
ニュートン・コンサルティングの複合災害研究によれば、2021年のKaseyaランサムウェア事案では、 攻撃対応の最中に、Kaseyaの通知を装ったフィッシングメールが顧客向けに送信される という「追い打ち型攻撃」が発生しました。 物理災害もサイバー攻撃も、「対応中」こそが最も隙が生まれる瞬間です。
※Kaseya事案（2021年）は確認済みの過去事例です。 出典：ニュートン・コンサルティング BCMナビ
📍 SECTION 03｜企業として今すぐできること
-
社員への注意喚起メールを1本送る「熊本地震に便乗した詐欺メール・SNS投稿に注意。業務端末でQRコードを読み取る前に必ず確認を」という内容を全社員に共有してください。 文面のひな形が必要な方はご連絡ください。🔴 今日中に
-
「IT担当者が不在の場合」のルールを確認する「IT担当者が被災・避難中に不審メールが届いたとき、誰が・何を確認するか」をチーム内で話し合う場を設けてください。 15分の机上確認から始めて十分です。🟡 今週中に
-
既存BCPに「サイバー×物理複合」シナリオを1行追記する「地震発生時、IT担当者が不在の状態でランサムウェアを受信したら」という1行のシナリオを 既存BCPに追加するだけで、訓練や議論の出発点になります。 特別号（7/29）の「統合BCP 5ステップ」も参考にしてください。🔵 今月中に
📋 2026年7〜8月シリーズの流れ
- 7/1 第1回 アフラック生命保険 438万件漏洩。「攻撃者が10日間いたことに気づかなかった」組織の内部統制問題。
- 7/8 第2回 バンダイチャンネル事件。15歳がChatGPTで攻撃コードを生成した「攻撃の民主化」。
- 7/15 第3回 ニチレイ攻撃でKFC全店舗停止。「自社を守っても委託先から止まる」サプライチェーンリスクの顕在化。
- 7/22 第4回 RansomHouse犯行声明・WordPress・7-Zip脆弱性が同時発生。「アップデート放置が命取りになる週」。
- 7/29 特別号 令和8年熊本地震。「地震BCPとIT-BCPの統合」こそが、今この瞬間に問われている。
- 8/5 Vol.5 地震翌日から拡散した詐欺・AI偽動画。「災害時こそ狙われる」複合リスクの現実。
🛡️ 「複合リスク」に備える第一歩を、一緒に踏み出しませんか
「物理BCPはあるが、サイバーを想定していない」
「IT担当者が不在のとき誰が判断するかわからない」
サイバーレジリエンス株式会社では、中小企業向けに無料初回相談を提供しています。
参考・出典（確認済みのもののみ掲載）
- 警察庁災害情報専用X「震災に便乗した悪質事犯に注意」（2026/7/29）x.com
- act1.co.jp「令和8年熊本地震に便乗する詐欺とSNS偽情報が拡散 警察庁が注意喚起」（2026/7/31）act1.co.jp
- piyolog「令和8年熊本地震に乗じたSNS上の偽情報についてまとめてみた」（2026/7/30）piyolog
- ITmedia NEWS「熊本地震でSNSにデマ拡散 偽の救助要請や募金詐欺、AIを信じ本物を誤判定も」（2026/7/30）itmedia.co.jp
- ニュートン・コンサルティング BCMナビ「なぜ、今、複合災害〈マルチハザード〉訓練なのか」newton-consulting.co.jp
- 気象庁「令和8年7月28日16時27分頃の熊本県熊本地方の地震について」jma.go.jp
投稿者プロフィール
