MENU
気になったことの先には、いつも人間がいる。
  1. ホーム
  2. 調べてみた
  3. SaaS is deadとは？不正アクセスが急増する2026年、SaaSとの付き合い方と代替策をやさしく解説

SaaS is deadとは？不正アクセスが急増する2026年、SaaSとの付き合い方と代替策をやさしく解説

調べてみた

「SaaS is dead」という言葉を、最近SNSやニュースで目にしませんでしたか。

もともとは「AIの進化でSaaSという商売が成り立たなくなる」という意味で使われてきた言葉です。ところが2026年の秋、この言葉の意味合いが少し変わってきました。国内で不正アクセスや情報漏えいのニュースが毎日のように流れ、「大事なデータを外部のサービスに預けて大丈夫なのか」という声が強まっているからです。

この記事では、次のことを順番に、むずかしい言葉をできるだけ使わずに説明します。

  • 2026年の不正アクセスは何が起きているのか
  • そもそもSaaSとは何か（海外・日本の有名サービスを一覧で紹介）
  • 不正アクセスが続く中で、SaaSはこれからどうなるのか
  • SaaSをやめるなら、代わりに何があるのか
  • 結局、私たちはSaaSとどう付き合えばいいのか

仕事でSaaSを使っている方、会社のIT担当になった方、個人でもクラウドサービスを使っている方に、ぜひ最後まで読んでいただきたい内容です。なお、情報は2026年10月21日時点のものです。事案は現在進行形で、内容が更新される可能性があります。

目次

1. はじめに｜2026年、不正アクセスが起きすぎています。このままSaaSはどうなるのか

1-1. 「SaaS is dead」とは何か

まず言葉の意味を整理しておきましょう。

「SaaS is dead」を日本語にすると「SaaSは死んだ」です。もともとの意味は、次のとおりです。

AIが自分で考えて仕事をこなす「AIエージェント」が広まると、人が画面を見ながら操作する今までのSaaSは必要なくなる。だからSaaSという商売は限界を迎える。

この議論に火をつけたのは、マイクロソフトのサティア・ナデラCEOがポッドキャスト（2024年末）で語った内容だと言われています。海外の解説記事によると、ナデラ氏はSaaSの中身を「データベースに、仕事のルール（業務ロジック）を足したもの」と捉えました。そして、その仕事のルールがAIの側に移れば、土台のSaaSは不要になっていくという見方を示したとされています。

ただし、海外でもこの発言は「そのままの意味」には受け取られていません。調査会社フューチャラムの解説では「SaaSの死というより、AIエージェントと従来のプログラムを組み合わせた、次のソフトウェアの作り方に進化する話」と整理されています。また、ビジネス情報サイトのカスタマーシンクは、ナデラ氏の発言は「マイクロソフトという会社の立場から読む必要がある」と指摘しています。SaaSが昔から約束してきたことをすべて果たせてこなかった点は事実だが、それでSaaSが消えるとは限らない、という冷静な見方です。

つまり「SaaS is dead」は、もともと「SaaSがなくなる」という断言ではなく、「SaaSのあり方が大きく変わる」という問題提起だったわけです。

1-2. 2026年の秋、何が起きているのか

ところが2026年の秋、この議論に別の角度が加わりました。それがセキュリティです。

ITmedia NEWSは2026年10月21日の記事で、不正アクセスの急増に伴って「SaaS is Dead」の議論が再燃していると伝えています。ただし今回の議論は、これまでとは毛色が違うといいます。AIが仕事を奪うというビジネスモデルの話から、「外部のツールに重要なデータを預けること」そのものを見直そうというセキュリティの話に移っている、という整理です。

実際に、2026年9月から10月にかけて、国内では次のような事案が相次いで公表されました。

  • 会員情報を取得する仕組み（API）が悪用された事案。ソースネクストでは、パスワードを含む会員情報が最大約2,252万件流出した可能性があると公表されています
  • 画像共有サービスGyazoで、国内外のユーザー情報約2,362万件が対象になったと報じられています
  • 企業向けコミュニティサービス「Commune」への不正アクセス。LINEヤフー、パナソニック、スズキ、Sansanなどの利用企業の会員情報にも影響が出る可能性が報じられました
  • ノーコードのホームページ制作サービス「Studio」への不正アクセス。ラクスルや東北電力が影響を受けたと伝えられています
  • クラウド基盤（IDCFクラウド）へのランサムウェア攻撃。1か所の攻撃が495の企業・自治体に波及しました
  • デジタル庁のシステムへの不正アクセス。VPN（外部から社内に入るための通り道）の弱点を突かれたとされています

ここで注目したいのは、自社のシステムだけでなく、「利用しているSaaSやクラウドが攻撃された結果、利用企業の情報が漏れた」ケースが少なくないことです。自分たちは何も悪くないのに、預けていた先が破られると被害を受ける。これが、SaaSに対する不安が強まっている理由です。

あわせて読みたい
個人情報流出、最近多すぎない！？【2026年10月】狙われる理由と生成AIの影響、流出チェックリスト＆今... はじめに｜「また流出？」と感じるのは気のせいではありません ここ最近、ニュースサイト・アプリを見るたびに「不正アクセスにより個人情報が流出した可能性」という見...

1-3. 政府や専門機関も動き出している

事態を重く見て、2026年10月7日から9日にかけて、個人情報保護委員会、JPCERT/CC、警察庁、国家サイバー統括室、IPA、金融庁などが相次いで注意喚起を出しました。

JPCERT/CCは、被害が「2026年9月前後」に相次いでいるとしつつ、技術的な情報の共有が足りず、把握できている情報は限られていると説明しています。そのうえで、次のような攻撃の型を示しました。

  • ケースA　世の中にある既知の弱点を、片っ端から探して試す攻撃
  • ケースB　アプリの裏側の通り道（API）を悪用する攻撃。公開されているスマホアプリを分析して、通り道の場所や鍵を見つけ出す手口も含まれます
  • ケースC　データ分析ツール「Metabase」の弱点を突いた攻撃
  • ケースD　公開サーバーに怪しいプログラムを置かれる攻撃

見落としやすいのは、狙われたのが一般向けのアプリだけではない点です。データ分析ツールや従業員向けの管理システムのように、「外部の人は使わないはず」の仕組みからも情報が漏れています。「公開していないから安全」という考えは通用しなくなってきたのです。

1-4. 「本当に増えているのか」も冷静に見ておく

ここで、少し立ち止まって考えたいことがあります。

デジタル大臣は2026年10月2日の会見で、不正な目的による漏えい等の件数は、令和6年度が7,604件、令和7年度が3,822件だったと説明しました。そのうえで、必ずしも増加傾向にあるとは考えていないが、件数自体は多く、今後の動きには注意が必要だとしています。

つまり「事件が突然、何倍にも増えた」とは言い切れません。ただ、大量の個人情報が一度に流出するような大きな事案が、短い期間に集中して公表されたことで、世の中の不安が一気に高まっているのが実情でしょう。

1-5. AIが攻撃に使われているのか

「AIが攻撃に使われているのでは」という声もあります。これについては、慎重に見る必要があります。

JPCERT/CCが参考にした専門家の資料では、「AIが使われたと断定できる痕跡は確認されていない」と書かれています。一方で、多くのサイトの弱点を人の手で探し続けるのは現実的ではないため、「AIの活用を否定するほうが難しい」との見方も示されています。

また、セキュリティ会社のサイバーセキュリティクラウドは、約40分の間に326個のIPアドレス（ネット上の住所のようなもの）を使い分けて、1,200件を超えるアクセスを行った攻撃者を観測したと報告しています。人間業とは思えない量なのに、機械的なパターンが少なく、相手の反応を見ながら手を変えていたことから、AIエージェントに近い仕組みの可能性があると推測しています。ただし、これも「観測された動きからの推測」であり、AIを使った直接の証拠ではありません。

整理すると次のとおりです。

  • AIが使われた可能性はあるが、断定はできていない
  • 攻撃が速く、広く、しつこくなっている可能性はある
  • だからこそ、基本的な守りを固める必要性が高まっている

1-5-1. このままSaaSはどうなるのか

では、このままSaaSはどうなっていくのでしょうか。結論を先にお伝えします。

SaaSがすぐに「死ぬ」ことはなさそうです。ただし、「何となく使う」時代は終わり、「選んで、守って、点検しながら使う」時代に変わっていく可能性が高いと考えられます。

この理由を、次章以降で順番に説明していきます。

2. そもそもSaaSとは？有名なサービスをご紹介｜海外・日本をほぼ網羅

2-1. SaaSとは「ソフトを買わずに、ネットで借りる」仕組み

SaaS（サース）とは「Software as a Service」の略で、ソフトウェアを自分のパソコンにインストールせず、インターネット経由で利用するサービスのことです。

たとえるなら、次のようなイメージです。

  • 昔のソフトは「CDを買って自分の家に置く」
  • SaaSは「必要なときだけ月額で借りて、ネット越しに使う」

動画配信サービスを思い浮かべるとわかりやすいかもしれません。DVDを買う代わりに、月額料金を払って見たいときに見る。SaaSはそのソフトウェア版です。

2-2. SaaSのメリット

SaaSが世界中で広まったのには、はっきりした理由があります。

  • すぐ使える　インストール不要で、申し込めばその日から使えます
  • 初期費用が安い　高いソフトを一括購入する必要がありません
  • 自動で最新になる　アップデートは提供元がやってくれます
  • どこからでも使える　会社でも自宅でも、スマホでも使えます
  • みんなで同時に使える　共同作業がしやすくなります

2-3. SaaSのデメリット

一方で、今回のような不正アクセスの時代には、次のような弱みも目立ってきました。

  • 大事なデータを他社に預ける　預け先が攻撃されると、自分たちも被害を受けます
  • 自分では守れない部分がある　サービスの内部の安全対策は、提供元任せになります
  • 使うサービスが増えすぎる　社員が勝手に登録した「野良SaaS」が増え、会社が把握しきれなくなります
  • サービスが止まると仕事も止まる　障害や緊急停止の影響を受けます
  • 他のサービスとのつながりが弱点になる　これは3章で詳しく説明します

2-4. 海外の有名SaaS

世界で広く使われている代表的なSaaSを、用途別に紹介します。

仕事の道具・コミュニケーション

  • Microsoft 365（ワード、エクセル、チームズ、アウトルックなど）
  • Google Workspace（ジーメール、ドライブ、ドキュメントなど）
  • Slack（チャットツール）
  • Zoom（ウェブ会議）
  • Notion（メモ・資料・タスクをまとめて管理）
  • Dropbox、Box（ファイルの保管と共有）

営業・顧客管理・問い合わせ対応

  • Salesforce（営業・顧客管理の世界的な定番）
  • HubSpot（マーケティングと営業の管理）
  • Zendesk、Intercom（お客様サポート）

プロジェクト管理・開発

  • Atlassian（Jira、Confluenceなど）
  • Asana、monday.com（タスクや進行管理）
  • GitHub（プログラムの管理・共有）

デザイン・クリエイティブ

  • Adobe Creative Cloud（フォトショップ、イラストレーターなど）
  • Canva、Figma（デザイン作成）

人事・経理・契約・ネットショップ

  • Workday（人事・給与）
  • DocuSign（電子契約）
  • Shopify（ネットショップ作成）
  • Stripe（オンライン決済）

認証・システム監視

  • Okta（ログインをまとめて管理）
  • Datadog（システムの状態を監視）

AI系のサービス

  • ChatGPT、Claudeなどの対話型AI（これらもネットで借りて使うSaaSの一種と言えます）

2-5. 日本の有名SaaS

日本でも、バックオフィス（経理・人事など）を中心に、多くのSaaSが育っています。

経理・会計・請求

  • freee（会計・人事労務）
  • マネーフォワード クラウド（会計・請求・給与など）
  • 弥生（会計ソフトのクラウド版）
  • 楽楽精算（経費精算）

人事・労務

  • SmartHR（入社手続き・年末調整など）
  • ジョブカン（勤怠管理など）

情報共有・チャット・業務アプリ

  • サイボウズ（kintone、Garoonなど）
  • Chatwork（ビジネスチャット）
  • LINE WORKS（ビジネス版LINE）

営業・名刺・契約

  • Sansan（名刺・顧客情報の管理）
  • クラウドサイン（電子契約）

ネットショップ・店舗

  • BASE、STORES（ネットショップ作成）
  • スマレジ（レジ・店舗管理）

ホームページ・コミュニティ

  • STUDIO（ノーコードのホームページ作成）
  • Commune（企業向けのコミュニティ運営）

ここに挙げた名前は、あくまで「広く知られた代表例」です。2026年の事案に関係したと報じられたサービスも含まれていますが、「名前が出た＝そのサービスだけが危険」という意味ではありません。後で説明しますが、どのSaaSにも、そして自社運用にも、リスクはあるからです。

2-6. 気づかないうちに「SaaSだらけ」になっている

実は、私たちの暮らしの多くがSaaSで成り立っています。

会社で使うメール、チャット、ウェブ会議、経費精算、勤怠管理、名刺管理、ホームページ、ネットショップ。個人でも、写真の保管、家計簿アプリ、動画や音楽の配信など、多くがSaaSの仕組みです。

セキュリティ企業の調査（米国のカセヤ社）によると、2025年の1年間に5万を超える中小企業の環境で、276億件ものSaaS上の出来事を分析した結果、「ゲストアカウント（外部の人用のアカウント）が、正規の利用者数を上回る状況」や「他サービスとの連携によるリスクの拡大」が課題として挙げられています。便利さの裏側で、「誰が、何に、アクセスできる状態なのか」が見えにくくなっているわけです。

3. 不正アクセスでSaaSはどうなる？2026年から考える、今後のSaaSとの付き合い方

3-1. 「SaaSをやめれば安全」とは限らない

不正アクセスのニュースが続くと、「それなら全部やめて、自社で運用しよう」と考えたくなります。しかし、専門家はこの考え方に慎重です。

ITmedia NEWSの記事では、セキュリティ会社ラックのCTO（最高技術責任者）である倉持浩明氏が、次の趣旨の話をしています。

  • 現状、セキュリティを理由にした「SaaS離れ」の声は聞いていない
  • SaaSをやめて自社運用に戻しても、最終的な責任がユーザー自身にある点は変わらない
  • 弱点への対応、バックアップ、故障時の復旧まで自分たちで運用できるなら問題ないが、多くの企業はそれができないから、SaaSに任せてきた
  • そもそも、自社運用に戻せる組織はそう多くないのではないか

つまり「SaaSかどうか」よりも、「誰が、どれだけきちんと守れるか」が本質だということです。小さな会社が自前で運用すれば、かえって守りが手薄になることも十分にあり得ます。

3-2. SaaSの安全対策の「実態」はどうなっているか

では、SaaS側の安全対策は十分なのでしょうか。

クラウドサービスの評価を行う会社「アシュアード」が、2026年10月に公表した調査があります。国内のクラウドサービス5,302件の回答データをもとにしたものです。主な結果を見てみましょう。

  • 独自のログイン機能を持つサービスのうち、利用者向けに「多要素認証」を用意しているのは55％。残りの45％は未提供でした
  • 多要素認証がないサービスのうち、43％はパスワードだけの認証でした
  • SaaS事業者が使う「管理画面」について、全アカウントに多要素認証をかけているサービスは53％。35％は全アカウントがパスワードだけでした
  • 利用者が自分でアクセスの記録（ログ）を確認できるサービスは53％にとどまりました
  • 他のサービスにAPIを提供する1,955件のうち、「リクエスト数の制限」と「鍵の有効期限の設定」を両方実施しているサービスは4割未満でした

ここでいう多要素認証とは、パスワードに加えて、スマホの確認コードなど「もう1つの証明」を求めるしくみです。パスワードが漏れても、すぐには入られにくくなります。

注目したいのは、SaaS事業者の「管理画面」です。管理画面は複数の利用企業のデータに触れられる場合があり、ここが破られると被害が一気に広がるおそれがあります。

また同じ調査では、2026年9月1日から10月7日に国内で報じられたセキュリティ事案64件のうち、SaaSが関係すると推測されるものが11件ありました。内訳は、SaaS事業者の管理サイトや外部アプリなどが侵害された事案が4件、メールやグループウェアの利用者アカウントが乗っ取られた事案が7件です。侵入経路が公表された3件は、いずれもフィッシング（偽サイトなどでIDやパスワードをだまし取る手口）が起点でした。

3-3. 海外で起きた「つながり」を狙う攻撃

日本ではあまり紹介されていませんが、海外では、SaaS同士の「つながり」を狙った攻撃が、ここ1年あまりで大きな問題になっています。

クラウドセキュリティの業界団体であるクラウド・セキュリティ・アライアンス（CSA）が2026年7月に出した調査メモによると、2025年8月から2026年6月にかけて、ShinyHunters（シャイニーハンターズ）という名前で活動する攻撃者グループが、3回にわたって似た手口の攻撃を行いました。

  1. 2025年8月　Salesloft（セールスロフト）のDrift（ドリフト）
    営業支援ツールに付属するAIチャットの連携情報が盗まれ、700以上の組織のSalesforceのデータが不正に取り出されました
  2. Gainsight（ゲインサイト）の連携アプリ
    同様に、顧客のSalesforceのデータに到達されました
  3. 2026年6月　Klue（クルー）
    195の顧客組織の連携情報が影響を受けました

この一連の攻撃の怖いところは、SaaSの本体（Salesforce）の弱点を突いたのではないという点です。攻撃者は、他のサービスがSalesforceに接続するために持っている「通行証」（OAuthトークンと呼ばれる許可証）を盗み、それを使って正面から入っていったのです。

セキュリティ会社KELAの解説によると、こうした許可証の悪用は、パスワードや多要素認証といった通常のログインの関門を通らずに入れてしまうといいます。さらに、盗まれた許可証をきっかけに、メールやチャットなど他の連携先にまで影響が広がった例も報告されています。

米国のセキュリティ会社の報告では、被害企業の中には、問い合わせ履歴に混ざっていた複数のAPIの鍵（104個）まで外部に出てしまったセキュリティ企業もありました。

この話は、日本のSaaS利用者にとっても他人事ではありません。自社のSaaSを堅く守っていても、そこにつながっている別のサービスが破られれば、同じ結果になるからです。

3-4. 「勝手に増えるSaaS」と「権限が大きすぎる連携」

米国のValence Security社とCSAが公表した「SaaSセキュリティの現状（2025〜2026）」には、次のような数字があります。

  • SaaS関連の侵害の46％が、弱い、または突破された多要素認証に関連していた
  • 56％の組織が、外部ベンダーや生成AIツールに、機密データへの「強すぎる権限」を与えていると回答した
  • 55％の組織で、社員がセキュリティ部門を通さずにSaaSを勝手に登録している
  • 46％の組織が、人ではないアカウント（連携用のプログラムなど）の監視を大きな課題だと答えた

また、別の調査会社AppOmniの報告では、組織の91％がSaaSのセキュリティに自信があると答えている一方で、実際には多くの組織がセキュリティ事故を経験しているという「自信と現実のズレ」が指摘されています。

これらは、日本の状況ともよく重なります。便利だからと連携や登録を増やした結果、管理しきれない入口が増えていく。これが2026年のSaaSの大きな課題です。

3-5. 今後、SaaSはどう変わっていくのか

ここまでを踏まえて、これからのSaaSがどうなるかを整理します。以下は、専門家の発言や各種資料からの推測も含みます。

変化1　「有名だから」「安いから」では選ばれなくなる
倉持氏は、これからは何かあったときに、ログを何日さかのぼって出してもらえるか、どこまで情報を開示してもらえるかといった「透明性」や「追跡のしやすさ」が求められるようになるだろうと述べています。

変化2　SaaS事業者に、より高い安全対策が求められる
管理画面の全アカウントへの多要素認証、アクセス元の制限、利用者向けのログ確認機能など、基本の対策がいっそう強く求められそうです。アシュアードもこれらを推奨しています。

変化3　緊急停止が「ありうること」になる
金融庁は2026年5月、「優先的に対応すべきサービスやITシステムを、能動的に停止させざるを得ない場合も、経営トップはあらかじめ選択肢として検討すべき」という趣旨の要請を出しています。倉持氏は、これは金融以外のSaaSにも当てはまると述べています。重大な弱点が見つかったとき、提供元が一時的にサービスを止めて直す。利用する側も、ある程度それを受け入れる心構えが必要になります。

変化4　利用する側の「責任」も重くなる
サービスの安全は提供元が守ってくれる、という発想だけでは足りません。多要素認証をきちんと全員にかける、連携アプリを棚卸しする、ログを確認するといった「使う側の仕事」が増えていきます。

変化5　AI時代のSaaSは「作り替え」られていく
本来の「SaaS is dead」の議論も、消えたわけではありません。ナデラ氏自身、次世代のSaaS企業はAIエージェントを積極的に取り込むべきだと述べているとされます。また、中国のメディアが紹介した情報では、ゴールドマン・サックスの調査として、AIエージェントによってソフトウェア市場全体が広がり、利益の中心もAIエージェント側に移っていくという予測が紹介されています。SaaSは「なくなる」のではなく、「AIと組み合わさって形を変える」可能性が高いのです。

ただし、ここにも新しいセキュリティの課題があります。AIエージェントが複数のSaaSをまたいで動くようになれば、そのAIが持つ権限や鍵をどう守るかが、これまで以上に重要になります。先に紹介した「連携の通行証」の問題が、AI時代にはさらに大きくなる可能性があるのです。

3-6. 今すぐできる、SaaSとの付き合い方

ここからは、SaaSを使い続ける前提で、今日からできる対策を整理します。会社の方も、個人の方も、できるところから始めてみてください。

会社・チームで使っている場合

① 使っているSaaSを洗い出す
まず「何のSaaSを、誰が、何のために使っているか」を一覧にします。勝手に登録されたSaaS（野良SaaS）がないかも確認しましょう。把握できないものは守れません。

② 多要素認証を、全員にかける
管理者だけでなく、全利用者に適用します。対応していないサービスなら、シングルサインオン（1つのIDでまとめてログインする仕組み）や、アクセス元IPアドレスの制限で補う方法があります。アシュアードも、全利用者への適用を推奨しています。

③ 連携アプリとAPIを棚卸しする
海外の事例が示すとおり、狙われるのは「つながり」です。使っていない連携は外し、必要なものも権限を最小限にしましょう。

④ 管理者アカウントのログを定期的に見る
アクセスログを自分で確認できるSaaSかどうかを把握し、少なくとも管理者アカウントのログは、定期的にチェックします。IPAは、直近1か月分のログから点検を始め、その後3か月分へと範囲を広げるやり方を示しています。

⑤ 預けるデータを減らす
国家サイバー統括室は、保有する情報が少なければ、万が一の際に被害の拡大を抑えられるとしています。使い終わった個人情報や、もう要らないデータは、きちんと消しましょう。「漏れたときに何が出てしまうのか」を事前に確認しておくことも大切です。

⑥ SaaSを選ぶときは「管理画面側」の対策まで確認する
ログイン機能の安全性だけでなく、事業者側の管理画面に多要素認証がかかっているか、ログの提供期間はどれくらいか、事故時の情報開示はどうか。これらも選定の基準にしましょう。

⑦ 緊急停止やパッチ対応を、ある程度は受け入れる
安全のための一時停止は、これから珍しくなくなるかもしれません。業務への影響を想定して、代わりの手段を決めておくと安心です。

個人で使っている場合

デジタル大臣は2026年10月6日の会見で、国民に次の3つを呼びかけました。

  1. パスワードの使い回しをやめ、サービスごとに別のパスワードにする
  2. 設定できるサービスでは、多要素認証を積極的に使う
  3. 不審なメールやSMSのリンクを安易に開かず、公式サイトや公式アプリからアクセスする

これに加えて、使わなくなったサービスは退会し、登録情報を残さないことも有効です。流出した情報が悪用されると、なりすましや詐欺などの二次被害につながるおそれがあるためです。

4. SaaSの代替は？やめる場合の選択肢を整理

「どうしても、今のSaaSに預けたくない」「重要なデータは別の形で守りたい」という場合の選択肢を整理します。ただし、どれも一長一短です。「代替すれば安全」ではなく、「自分たちに合った選び方」をすることが大切です。

4-1. 代替案の全体像

選択肢概要向いている人注意点
同じSaaSを使い続け、守りを固める多要素認証、連携の棚卸し、ログ確認などほとんどの会社・個人使う側の運用が必要
別のSaaSに乗り換える安全対策が整った事業者を選び直す今のサービスの対策に不安がある場合乗り換えの手間とコスト
自分たちでサーバーを借りて運用する自社専用の環境で動かす専門の担当者がいる会社運用と防御の責任が自社に
オープンソースを使って自前で構築無料で公開されているソフトを自分で設置する技術力のあるチーム更新と管理が自己責任
オンプレミス（社内にサーバーを置く）自社の設備で動かす厳格な管理が必要な組織費用と人手がかかる
買い切り・ローカルで使うソフト自分のパソコン内だけで完結させる個人、小規模な用途共同作業や遠隔利用がしづらい
AIで自作ツールを作る必要な機能だけを自社用に作る小さな業務の自動化品質と安全性は作る側の責任

4-2. 選択肢ごとの考え方

① 同じSaaSを使い続け、守りを固める

実は、もっとも現実的で、効果が高いのがこの方法です。3章で紹介した対策を実践するだけで、リスクは大きく下がります。海外の事例を見ても、攻撃者は高度な技術よりも、「多要素認証の抜け」「強すぎる権限」「管理されていない連携」といった基本の穴を突いています。

② 別のSaaSに乗り換える

乗り換えるなら、「有名かどうか」ではなく、次の点を比べましょう。

  • 利用者向けと管理画面の両方で、多要素認証に対応しているか
  • アクセスログを自分で確認でき、どのくらい前まで遡れるか
  • APIの鍵に有効期限があるか、大量アクセスを制限しているか
  • 事故が起きたときの連絡と情報開示の約束があるか
  • 第三者による安全性の評価や診断を受けているか

乗り換え先にも、同じ種類のリスクはあります。「やめる」のではなく「選び直す」と考えるのがコツです。

③ 自分たちで運用する（セルフホスト・オンプレミス）

データを自分の手元に置けるので、安心感はあります。ただし、ラックの倉持氏が指摘するように、責任は結局ユーザー自身にあります。弱点が見つかったらすぐに修正する、バックアップを取る、壊れたら復旧する、不審な動きを見張る。これらを継続できる体制がなければ、SaaSよりも危なくなる可能性があります。

実際、今回の事案でも、データ分析ツールのMetabaseやPHPといった、自分たちで入れて運用するソフトの弱点が狙われています。自前運用は「責任の置き場所が変わるだけ」と考えたほうがよいでしょう。

④ 買い切り・ローカル保存に切り替える

個人や小さな用途では、データを自分のパソコンやUSBメモリに保存する、買い切りのソフトを使う、という選択肢もあります。ネットに預けないので、SaaS経由の流出は避けられます。ただし、パソコンの故障や紛失に備えて、バックアップは必須です。

⑤ AIを使って、必要な機能だけを自作する

「SaaS is dead」の本来の文脈に近い選択肢です。AIの助けを借りて、自社の業務に必要な小さなツールだけを作る方法です。使わない機能にお金を払い続けなくて済むメリットがあります。

ただし、作ったツールを安全に運用する責任は、作った側にあります。今回の事案でも、アプリの裏側の通り道（API）の設計や設定の不備が悪用されました。「作れる」ことと「安全に運用できる」ことは別だと心得ておきましょう。

4-3. 迷ったときの判断の目安

迷ったら、次の順に考えてみてください。

  1. 預けているデータは何か　名前や住所、本人確認書類の画像、決済情報など、漏れたときの影響が大きいものほど慎重に
  2. 今のSaaSの対策は十分か　多要素認証、ログ、管理画面の保護、情報開示の姿勢を確認
  3. 自分たちで守れる体制があるか　運用の人手、知識、時間があるかを正直に見積もる
  4. まず「守りを固める」で足りないか　乗り換えの前に、権限・連携・データ量の見直しを

多くの場合、「大きく乗り換える」前に、「今の使い方を見直す」だけで、リスクはかなり減らせます。

5. まとめ｜「SaaS is dead」の本当の意味と、これからの付き合い方

最後に、この記事の内容を振り返ります。

1　2026年の不正アクセスは、SaaSへの見方を変えつつある
国内では、2026年9月から10月にかけて、大規模な情報流出が相次いで公表されました。政府や専門機関も異例のスピードで注意喚起を出しています。一方で、件数の統計では「必ずしも増加傾向とは言えない」との説明もあり、冷静に見る視点も必要です。

2　SaaSは「ネットで借りるソフト」であり、暮らしの土台になっている
海外のMicrosoft 365やSalesforce、日本のfreeeやSmartHR、Sansanなど、私たちは気づかないうちに多くのSaaSに支えられています。便利さの代わりに、「預ける」リスクがあることも事実です。

3　「SaaS is dead」は、2つの意味を持つようになった
もともとは「AIエージェントがSaaSを置き換える」というビジネスの話でした。2026年の秋には、「外部に大事なデータを預けること」を見直すセキュリティの話としても語られるようになりました。ただ、どちらの意味でも、SaaSが今すぐ消えるわけではありません。変わるのは、SaaSの「選ばれ方」と「使われ方」です。

4　狙われるのは、高度な技術よりも「基本の穴」
多要素認証の抜け、管理されていないAPI、強すぎる権限、見えなくなった連携。国内外の事例に共通するのは、こうした基本的な弱点です。海外のSalesforce関連の事件が示したように、本体ではなく「つながり」が狙われる時代になっています。

5　代替はあるが、「やめれば安全」ではない
自社運用でも、オンプレミスでも、AIで自作しても、責任は結局、使う側にあります。まずは「使い方を見直す」ことが、もっとも現実的で効果の高い選択です。

「SaaS is dead」という言葉は、少しショッキングです。でも、この言葉をきっかけに、私たちは大切なことに気づけたのではないでしょうか。

それは、便利なサービスを「ただ使う」のではなく、「理解して、選んで、守りながら使う」ことの大切さです。

SaaSが死ぬのではありません。「何も考えずにSaaSを使える時代」が、終わろうとしているだけなのかもしれません。

今日からできることは、とてもシンプルです。

  • 使っているサービスを書き出してみる
  • 多要素認証を設定する
  • 使っていない連携とアカウントを整理する
  • 預けているデータの中身を見直す

この小さな一歩が、あなたの会社と、あなた自身の大切な情報を守ることにつながります。これからもSaaSと上手に付き合っていきましょう。

参考文献・参照元

国内の公的機関・報道・調査（2026年10月時点で確認）

海外の文献

ご利用にあたっての注意事項

この記事は、2026年10月21日時点で公開されている報道、公的機関の発表、各社の調査資料などをもとに、一般的な情報提供を目的として作成したものです。個別の事案については調査が続いている場合があり、内容が今後変更・訂正される可能性があります。記事に登場するサービス名や企業名は、事実の紹介を目的とするもので、特定のサービスの安全性や危険性を評価・保証するものではありません。

また、セキュリティ対策や代替策の選択、サービスの契約・解約などの最終的な判断は、ご自身の責任で、必要に応じて専門家や各サービス提供元の公式情報をご確認のうえ行ってください。この記事の情報を利用したことによって生じたいかなる損害やトラブルについても、筆者および当サイトは責任を負いかねます。

調べてみた
SaaS 仕事 危険 気になった 生活

この記事が気に入ったら
フォローしてね！

よかったらシェアしてね！
  • URLをコピーしました！
  • URLをコピーしました！

この記事を書いた人

シヴィエさんのアバター シヴィエさん

手帳が続かない・考えすぎて動けない、そんな時期を何度も経験してきました。
手帳歴20年以上、GTD・振り返り・小さな習慣を実践しながら、少しずつ自分なりの整理術を見つけてきた人間です。
「頑張りすぎない改善」をテーマに、手帳・習慣化・心理・オカルト・日常の気になることを丁寧に発信しています。

関連記事

目次