AI惣菜だ。
スマホの画面にボタンがなければ、その操作はできない。そう思っていると、守る場所を間違える。画面の裏では、アプリとサーバーがAPIという接続口を通じて情報をやり取りしている。
2026年10月15日、JPCERT/CCは、連続する不正アクセス事案の調査で、攻撃者がAIを使って既知の脆弱性の探索やAPI経由の攻撃を行っていたと公表した。アプリの解析から接続先を調べる動きも報告している。これは調査対象で確認された事実であり、最近の全被害企業が同じ手口で侵入されたという意味ではない。［調査報告］
投資テーマとして面白いのは、「AI」という名前が付く製品だけが必要になるわけではないことだ。公開している入口を探す、欠陥を診断する、通信を監視する、設計を直す。攻撃が速くなるほど、地味だが省けない仕事が増える。
Webサイトの門番だけでは、守りきれない理由
WAFは、Webへの通信を検査して攻撃を遮断する仕組みだ。既知の攻撃を防ぎ、修正までの時間を稼ぐ役割がある。一方で「この利用者は、この顧客の情報を見てよいのか」という業務上の権限まで、製品を置くだけで正しく設計できるわけではない。
例えば、予約アプリの利用者は自分の予約を見られればよい。他人の予約や管理者向けの処理まで触れられるなら、画面をきれいに作り直しても問題は残る。接続口ごとに、本人かどうかと、何を許すかをサーバー側で判断する必要がある。
JPCERT/CCの10月8日公表・9日更新の注意喚起は、利用者向けアプリだけでなく、従業員用システムや分析ツールにも点検を求めた。最近相次ぐ大量の情報窃取を、従来から続くランサムウェア被害とは分けて扱っている。［注意喚起］
企業には、外から見えるシステムを洗い出し、弱点を見つけ、優先順位を付けて改修する作業が生じる。さらに、新機能を出せば接続口も変わる。一度の診断で終えるのではなく、開発と運用の中に診断を組み込む理由がここにある。
防御と診断を継続サービスにする2社
サイバーセキュリティクラウド（4493）｜WAFを、運用し続けられる形にする
「攻撃遮断くん」はクラウド型WAF、「WafCharm」はクラウド事業者のWAF運用を支援するサービスだ。攻撃の変化に応じて防御ルールを整え、正規の通信まで止めてしまう誤検知にも対応する。顧客が買うのは遮断機能だけでなく、その調整を続ける負担の軽減でもある。［攻撃遮断くん］
2026年1〜6月の連結売上高は27.71億円、営業利益は6.19億円。6月末のARRは52.74億円だった。ARRは継続収益を年額換算した指標であり、その年にすでに計上した売上ではない。継続契約が商売の中心にあることが、案件単位の診断会社との違いだ。［第2四半期決算資料］
契約が増えれば同じ基盤を多くの顧客に使ってもらえるが、通信費や人件費も増える。価格改定で単価を上げても、顧客が離れれば積み上げは崩れる。防御の質、運用の手間、価格の釣り合いを取り続けることが、利益の土台になる。
GMOインターネットグループ（9449）｜専門家の診断と、自動で回るサービス
連結会社のGMOサイバーセキュリティ byイエラエは、脆弱性診断や侵入テストに加え、「GMOサイバー攻撃 ネットde診断」などを提供する。外部公開資産を見つけるASMは、会社が管理しきれていない入口を洗い出す仕事だ。専門家が深く調べる診断と、自動的に繰り返す点検を組み合わせられる。［ASMに関する発表］
2026年1月には「WAFエイド」に継続的な脆弱性診断を組み込んだプランを追加した。問題を見つけるだけでなく、防御の運用につなぐ提案である。ただし上場している9449は持株会社で、金融や決済なども含む。イエラエのサービスへの期待を、そのままグループ全体の利益成長率に置き換えることはできない。［WAFエイド］
「何が危ないか」を、直せる問題へ変える3社
ブロードバンドセキュリティ（4398）｜自動検査と人の診断を組み合わせる
「SQAT」の脆弱性診断は、ツールによる自動診断と、専門家の手動診断を組み合わせる。Webサイトやアプリには、機械で広く探しやすい欠陥もあれば、画面の流れや権限の関係を読み解かないと見えにくい問題もある。両方を使えることに、専門会社へ発注する理由がある。［脆弱性診断］
継続的な自動診断も持ち、単発の検査から日常の弱点管理へ広げる余地がある。一方、手動診断が増えるほど熟練者の時間も必要になる。案件数だけでなく、診断の深さに見合う単価と作業の効率化が、会社に残る利益を決める。
グローバルセキュリティエキスパート〈GSX〉（4417）｜APIの欠陥から、担当者の知識まで
GSXはWebアプリケーションに加え、Web APIの診断を明示している。スマホ画面の検査だけでは見落としかねない接続口を調べ、問題を報告する仕事だ。診断を受ける企業側にも、結果を理解して改修を進める担当者が要るため、教育や人材支援との接点がある。［Web・API診断］
診断報告書が出ても、顧客の開発会社との調整や再検査が進まなければ穴は残る。技術的な指摘を、改修と運用へつなげる支援に価値がある。その分、人が関わる工程も多く、ソフトの利用料だけが積み上がる会社とは費用の構造が違う。
サイバートラスト（4498）｜Webとクラウドを、証明書の外側からも点検する
電子証明書の会社という印象があるが、Webアプリケーションやクラウドなどの脆弱性診断も提供している。通信を暗号化する証明書が有効でも、アプリの権限や設定に欠陥があれば情報は漏れる。サイトの安全を、証明書の有無だけで判断できないことを示す会社だ。［Webアプリケーション診断］
顧客の認証基盤、OS、システム運用に関わる複数の接点を持つ一方、診断だけの専業企業ではない。全社の増収には他サービスの動きも含まれるため、Web防御の需要だけで業績を説明しない方が実態に近い。
製品を現場につなぎ、開発手順まで変える3社
IIJ（3774）｜Webサイトごとの事情に合わせてWAFを運用する
「IIJマネージドWAFサービス」は、顧客サイト固有の要望への対応や、導入・運用支援を組み合わせる。ECサイトなら、攻撃を止めるだけでなく、正規の注文を通し続けることが必要だ。防御ルールを強めすぎて購入手続きまで止めれば、本来守るはずの売上を傷つける。［マネージドWAF］
ネットワーク、クラウド、監視とまとめて提供できる点が強みになる。反面、顧客ごとの要望が増えすぎると運用コストは上がる。共通サービスとして提供できる範囲を広げながら、個別対応に適切な料金を付けることが採算につながる。
マクニカホールディングス（3132）｜海外の防御製品を、国内の導入案件へ
事業会社マクニカは、WAFやデータベース保護を扱うImpervaなど、多様なメーカーの製品を取り扱う。顧客の既存システムに合う製品を選び、導入・技術支援を組み合わせる立場だ。自社で全機能を開発しなくても、世界の技術を国内需要につなぐ商売ができる。［取扱メーカー］
ただし製品代金のすべてがマクニカの取り分になるわけではない。開発元への仕入れに加え、導入支援の工数もある。販売額の大きさと、運用・支援で生む付加価値を分けると、クラウド製品を自社開発する会社との違いが見えてくる。
野村総合研究所〈NRI〉（4307）｜AIで作るシステムの、作り方から整える
NRIセキュアは2026年10月15日、「AI駆動開発向けセキュリティ支援サービス」の提供を始めた。AI利用のルール整備、開発工程への対策の組み込み、見つかった弱点への対応順位付けを支援する。公開後の門番だけでなく、システムを作る工程に安全を組み込む仕事である。［提供開始の発表］
AIで開発が速くなっても、出力されたコードやAIに与える権限の管理は残る。多くのシステム構築・運用を手掛けるNRIグループには、その工程を変える接点がある。ただし今回の発表はサービスの提供開始であり、具体的な受注額や売上実績の発表ではない。
AIで攻撃が速くなっても、利益は自動では増えない
このテーマには二つの方向がある。攻撃者がAIを使うことで守る側の仕事が増える方向と、守る側もAIを使って診断や分析の単価を下げられる方向だ。需要の増加と価格競争は、同時に起こり得る。
人手の診断を自動化できれば、同じ人数で多くの顧客を支えられる。一方で、誰でも安く実施できる部分の料金は下がりやすい。深い技術判断、顧客の業務に沿った権限設計、改修の優先順位付けなど、単純な検査結果の列挙を超える仕事に価値が残る。
WAF、診断、システム改修は、それぞれ役割が違う。診断を買っても修正しなければ穴は残り、WAFを入れてもすべての権限不備が直るわけではない。複数の対策が同時に必要でも、一社が予算を総取りするとは限らない。
AI惣菜の見方
私は「AI攻撃が増えるからAIセキュリティ株」という一段の連想では見ない。入口を見つける、欠陥を直す、防御を運用する。この繰り返しのどこで顧客が料金を払い続けるのかを考える。
継続契約を積み上げる会社と、難しい改修や診断を引き受ける会社には、違う強みがある。見たいのは警報の数ではなく、顧客の手間を減らしながら守りを続けられる仕組みだ。そこが、流行語が消えた後にも残る商売になる。
参考資料
JPCERT/CC：連続不正アクセス事案の攻撃手法（2026年10月15日）／同：不正アクセスの注意喚起（10月8日公表・9日更新）／IPA：速やかに実施すべき対策（10月9日）。
製品・企業発表は本文のリンクを参照。上場会社の資料：ブロードバンドセキュリティ／GSX／サイバートラスト／IIJ／マクニカHD／NRI。本文は各社の事業比較であり、個別被害企業からの受注を示すものではない。
