サイバー攻撃の裏に“AIの悪用”か 約40分で1200回攻撃も…3週間で8000万件流出「セルフ診断」で防げるか【Nスタ解説】
連日伝えているサイバー攻撃。命を守るために大切な全国の「防災情報」が停止するなど、影響が広がり続けています。
【写真で見る】各企業で情報流出相次ぐ ハッカー集団「Qilin」からの回答も
企業につづき自治体まで…私たちの取材では、国際ハッカー集団が独自のAIを攻撃に利用するという新たな実態が見えてきました。
企業や自治体で相次ぐ情報流出 直近3週間で最大約8000万件超に
高柳光希キャスター:
ここ数週間で耳にすることが一気に増えた「サイバー攻撃」。まずは、企業や自治体で情報流出が多くなっています。
【企業や自治体で…情報流出の恐れ】
●JR東海:メールアドレス・住所など約1万5000人分
●宅配すしチェーン「銀のさら」:氏名・住所など最大約650万件
●神奈川・横須賀市:メールアドレスなど約5万9000件
●大分県:メールアドレスなど約3万8000件
情報流出:最大約8065万件（直近3週間ほど）
※流出の可能性含め判明しているもののみ/JNN調べ
同じ人が重複して情報を流出させてしまっていることも考えられますが、日本の人口と比較しても、かなりの規模になってきています。
TBS「報道特集」 福田陽平 記者:
たまたま大型で有名な案件が続いているということもありますが、一部では特定のサービスのアプリを使っていて、漏れなくやられてしまったというケースも指摘されていました。なぜ流出してしまったのか、まだわからないところです。
機械的な攻撃から、AIが状況に応じて行動を変えるように…
高柳キャスター:
この攻撃にはAIが使われたと考えていいのでしょうか?
TBS「報道特集」 福田陽平 記者:
AIが使われたかどうかまではわかっていないのですが、無視はできません。
今回の一連の情報漏洩では、ネット上の住所のようなものである、攻撃者が使ったIPアドレスが明らかになっています。
セキュリティ会社のサイバーセキュリティクラウドが調べると、約40分間で326個のIPアドレスを使って、1200回以上攻撃していたことが確認されました。これは複数回にわたって行われていたということで、人間ができるものではないです。
高柳キャスター:
メカニズムとしては、AIはどういう仕組みで攻撃を行っているのでしょうか?
TBS「報道特集」 福田陽平 記者:
これまでもプログラムなどを使って攻撃することはありましたが、機械的でシンプルな攻撃でした。
しかしAIの登場で、あの手この手で状況に応じて行動を変えるようになっています。
例えば、ログインを試しできなかったら別の方法をやってみようと、AIが自分で考える。そのような行動が確認されているということです。
高柳キャスター:
日本中の企業がサイバー攻撃を受けているということで、経済に対しても影響が出そうですね。
経済アナリスト 馬渕磨理子さん:
こういった新しい技術は、本当は良いことに使われてほしいのですが、AIの悪用の脅威が迫っている印象があります。
ここに関しては、官民連携で対応していく必要があると思っています。民間では、重要な情報はネットから遮断して保管する。基本のキとしては、パスワードを使い回さないなどです。
あとは免許証やパスワードに関し、長期にわたって保管しないというのも一つのルールとして設けるべきだと思います。
井上貴博キャスター:
国として遅れているので、日本もしっかりやるべきだとは思います。その一方で、報じている我々も、少し煽りすぎな局面がないかというのを最近感じています。
例えばパスワードやメールアドレスは、流出する前提でいたほうがいいくらいだと個人的には思っています。
しかし、マイナンバーカードなどはリスクが出てきますし、銀行や証券会社がダメージを受けて資産が流出することになると、これはフェーズが変わってきます。
危険度のグラデーションをしっかり押さえたうえでお伝えしないといけないと、自戒の念を込めて思います。
AI悪用の温床「ダークウェブ」とは? 違法AIの手軽なレンタルも
高柳キャスター:
AIの悪用の温床となっているのが「ダークウェブ」といわれるサイトです。
通常の検索では出てこない匿名性の高いウェブサイトで、ここでどうやら情報交換が行われているということです。
例えば、次のような投稿があります。
「どんなAIをどのように使っていますか?」
「システムへの侵入・脆弱性の調査などに役立つという点で、どのAIモデルを使っているか知りたい」
TBS「報道特集」 福田陽平 記者:
一般的に、AIには「爆弾を作りたい」「サイバー攻撃したい」といった質問には答えられないように制限がかかっています。
しかし、「脱獄」といわれる裏技のようなものがあり、サイバー犯罪者はこういったノウハウを闇サイトで情報交換しています。
高柳キャスター:
さらにダークウェブでは、ソフトウェアとブラウザの検閲・制限がない違法なAIを、時間単位でレンタルしています。例えば66分で10ドル、日本円で約1580円という手軽さです。
TBS「報道特集」 福田陽平 記者:
これを使えば、すぐに悪用できてしまいます。
井上キャスター:
違法AIやダークウェブは取り締まれないのでしょうか?
TBS「報道特集」 福田陽平 記者:
本当は取り締まらなければいけませんし、実際に取り締まりは進んでいます。しかし、海外にサーバーがあることや匿名性が高いなどのハードルもあります。
サイバー攻撃を防ぐ「セルフ診断」 企業側の対策は
高柳キャスター:
企業側の対策としては、どういったことをしていけばいいのでしょうか。
今増えているのが、AIを活用したセキュリティ製品・サービスです。
特に求められているのは、実際に自分にハッキングしてもらう「セルフ診断」だといいます。
あらかじめ攻撃者の知見を持った専門家やホワイトハッカーなどが、AIで自分の端末をハッキングすることで、どこに脆弱性があるのかがわかるということです。
TBS「報道特集」 福田陽平 記者:
これからは防御するだけではなく、攻め=オフェンシブな視点で対策を講じなければいけない時代になってきているのではないでしょうか。
ただ、これはすべての会社や個人ができることではないと思います。取材していると、AIももちろん怖いのですが、パスワードが簡単だったり、ソフトウェアが古いままだったりするケースもあります。
サイバー攻撃から会社や自分を守るためには、パスワードを複雑化する、ソフトウェアを最新にするといった基本を徹底することが大切だと思います。
高柳キャスター:
すべてのサービスにパスワードやIDがあるので、どこまで自分が徹底できているのか不安になるところも多いですが、まずは一つずつということですね。
経済アナリスト 馬渕磨理子さん:
例えば中小企業に対して攻撃があった場合、そこが保管している大企業のデータまで漏れてしまうことがあります。中小企業のシステム構築なども支援していく必要性があると思います。
出水麻衣キャスター:
ホワイトハッカーなどの取り組みを、政府が後押ししていくことも重要だと思います。
さまざまな企業に義務づける形で、健康診断のようにセキュリティの状況をチェックする。実施するにはお金がかかると思いますが、理想としては、そうした仕組みをつくっていけるといいですよね。
==========
＜プロフィール＞
福田陽平
TBS「報道特集」記者 サイバー担当
“情報漏えい問題への知識は局内No.1”
馬渕磨理子さん
経済アナリスト 企業経営にも参画
日本金融経済研究所代表理事
