トップ ＞ テクノロジー

SaaS経由の不正アクセス相次ぐ、「SaaS離れ」は起きるのか

内容

何が起きているのか

企業の社内システムだけでなく、SaaS事業者が提供する外部サービスへの不正アクセスが相次いでいます。その結果、サービスを利用している企業の情報まで漏えいする事案が出ています。報道によると、コミュニティー向けのプラットフォームや、ノーコードでWebサイトを制作するプラットフォームが攻撃を受け、複数の大手企業が影響を受けました。漏えいした情報の具体的な中身や件数は、現時点で明らかになっていません。

「SaaS is Dead」とは何か、なぜ今また議論されているのか

「SaaS is Dead」は、もともと別の文脈で使われてきた言葉です。自律的に作業をこなしたりツールを作ったりできるAIエージェントが広まると、SaaSの需要がAIに置き換わり、SaaSのビジネスが行き詰まる、という見方を指します。

今回は、SaaSを経由した情報漏えいが続いたことで、「重要なデータを外部のツールに預けてよいのか」という点が改めて問われています。一連の攻撃にAIが悪用された可能性も指摘されており、AIがきっかけである点は同じです。ただし議論の焦点は、ビジネスモデルからセキュリティへと移っています。なお、AIの悪用がどの程度関わっているのかは確定していません。

SaaSの利用判断への影響

セキュリティ企業の専門家は、セキュリティを理由にSaaSをやめる動きは今のところ聞いていないと話しています。SaaSを使っても自社のサーバで運用しても、最終的な責任は利用企業が負います。そのため「SaaSをやめれば安全」とは言えない、という見方です。

自社で運用する場合は、脆弱性への対応、バックアップ、故障時の復旧などを自分たちで担う必要があります。これまで多くの企業は、それらをベンダーに任せる判断をしてきました。専門家は、自社運用に戻せる組織はそれほど多くないのではないかとみています。

一方で、ベンダーを選ぶ基準は厳しくなる可能性があります。知名度や価格だけで決めるのではなく、問題が起きたときに何日分のログを出してもらえるか、どこまで情報を開示してもらえるかといった、透明性や追跡のしやすさが重視されるようになる、との指摘です。

求められる対策

ベンダー側については、重大な脆弱性が公表されたときに、サービスを一時的に止めてでも修正を当てる覚悟が必要だとされています。金融庁が5月に出した金融機関向けの要請にも、システムを能動的に停止する選択肢を経営トップがあらかじめ検討しておくべきだという趣旨の記載があります。専門家は、金融以外のSaaSでも同じ姿勢が必要だと述べています。あわせて、費用や時間の都合で専門家によるテストが後回しになっているシステムがないか、総点検すべきだとしています。

利用企業側に求められるのは、次の2点です。

• SaaSで漏えいが起きた場合にどの情報が流出するのかを確認し、必要のない情報を持ち続けていないか見直すこと
• 修正対応のためにサービスが一時停止することを、ある程度受け入れること

攻撃は長引く可能性もあるとされています。

注目ポイント

名の知れた大手企業が、自社のシステムではなく、利用していた外部サービスを通じて影響を受けた点に関心が集まっています。SaaSは多くの企業が日常的に使っており、自社の対策だけでは防ぎきれない身近なリスクとして受け止められています。今後の焦点は、すぐにSaaS離れが進むかどうかよりも、ベンダーに対して透明性や情報開示がどこまで求められるようになるかです。

ネットでの反応

SNSでは、自社でできるのはせいぜいバックアップを自社サーバに取る程度だ、という声が出ています。また、SaaSのほうがセキュリティの水準は高い場合が多い、という受け止めもあります。「SaaS離れ」という問いかけが注目される一方で、反応の多くは、自社運用に戻すのは現実的ではないとする見方に近いものになっています。

参考記事

• 不正アクセス急増は“SaaS離れ”を招くか? 露呈したもう1つの「SaaS is Dead」リスク　2026年10月21日 15:00
• 不正アクセス急増は“SaaS離れ”を招くか? 露呈したもう1つの「SaaS is Dead」リスク(ITmedia NEWS)Yahoo!ニュース　2026年10月21日 16:09

ランキング登場履歴

この記事の内容に誤りを見つけた方は 情報の誤りを報告 からお知らせください。