自衛のためのサイバー攻撃の仕組み講座（AI時代・エンジニア水準）

全体像と攻略法

全部を知っている必要はありません

サイバー攻撃の話は、手口の名前が多すぎます。 新しい名前は毎月のように出てきて、全部を追いかけていると終わりがありません。

そこでこの講座は、目指す所を絞っています。 2026年の攻撃者が、AIを使って何をどう狙うのか。それを仕組みから説明できて、自分の環境のどこから塞ぐかを自分で決められる所までです。

「危ないですよ」だけでは、答えになりません

あなたは小さな会社を複数経営していて、Mac・VPS・WordPress・LINEやUTAGE・Claude Code・Googleアカウントを日々使っています。 受講生に教える立場でもあります。

そこに、こんな質問が来ます。

• それって、本当に危ないんですか
• うちは小さい会社だから、狙われませんよね
• 2段階認証をしているのに、なぜ乗っ取られるんですか

「危ないです」「気をつけてください」では、答えになっていません。 なぜ成り立つのか。どこで止められるのか。止めるには何を先にやるのか。ここまで答えられて、初めて相手が動けます。

この講座は、その答えを持つための講座です。

この講座のゴール

ゴール 必ず覚える

2026年の攻撃者がAIを使って何をどう狙うかを仕組みから説明でき、自分の会社と自分の環境を攻撃者の目で点検して、塞ぐ順番を自分で決められること。

エンジニアの水準といっても、攻撃のコードを書く力は要りません。 要るのは「何が起きているか」を読み解く力と、「何を先に塞ぐか」を決める判断です。

卒業課題 必ず覚える

課題は2つです。

• 自分の環境の「脅威モデル1枚」を作る。脅威モデルとは、何を・誰から・どこから守るかを整理した表のことです（No.03で詳しく）。守る物・入口・起こりうる攻撃・今の守り・塞ぐ順番を書きます
• AIエージェントに関わる攻撃を1つ選び、5分の講義をする。想定される質問10個への答えも用意します

最後まで読んでから作るのではなく、No.03で最初の1枚を作ってしまい、区分ごとに書き直していきます。

書かないこと

この講座の線 必ず覚える

この講座は、守る側のための講座です。 攻撃は「なぜ成り立つか」「どう見抜くか」「どう塞ぐか」までを書きます。

次の物は書きません。

• 他人のシステムを攻める手順
• 攻撃用のコードや、実際に使える悪用の文字列
• 攻撃用の道具のコマンドや使い方
• 検知をすり抜ける方法

手を動かす場面は、自分の環境の点検（設定を見る・ログを読む・更新する）と、合法な練習場だけです。 他人のシステムに試すことは、練習でも一切しません。法律の線は次の単元（学び方）で説明します。

他にやらない事 さらっと

• 暗号の数式
• 資格試験向けの暗記
• 自分の環境に無い仕組み。たとえば大企業向けの監視製品などです

必要になったら公式の資料を調べれば足ります。 この講座を終える頃には、どこを調べればいいかも分かるようになっています。

5つの区分

講座は、被害に近い順に5つの区分で並べています。

区分1は、他の全部の根っこです。 用語が多く出ますが、流れは単純なので図で覚えます。

区分2は被害が一番多い所なので、早めに自分の分を点検できます。

区分3は、HTTP（ブラウザとサイトが話す約束）が土台になります。少し難しく感じたら、No.07に戻ってください。

区分4は、あなたの環境で一番新しい入口です。正解がまだ固まりきっていないので、「なぜ」を中心に読みます。

区分5は地味ですが、やられた後に効く守りです。

呼び方の約束

この講座では、読んでいるあなたを「あなた」と呼びます。 攻撃してくる側は「攻撃者」、守る側は「守る側」と呼びます。

AIが呼び出せる機能は「道具（ツール）」、Claude Codeのように道具を使って自分で作業を進めるAIは「AIエージェント」と呼びます。

出典：IPA「情報セキュリティ10大脅威 2026」 https://www.ipa.go.jp/security/10threats/10threats2026.html