企業サイトで相次ぐ個人情報流出「数十秒で攻撃できてしまう」専門家が指摘する中国製AIの脅威

 

　10月21日、日本のネット空間はまさに大混乱に陥った。

 

「プログラミング言語PHPに深刻な脆弱性があると公表されたんです。PHPとは、ホームページの裏で動いているプログラミングのことで、これがハックされると運営者が記録している個人情報などのデータが読み取られたり、サイトの内容が改ざんされたりする恐れがあります。世界のウェブサイトのおよそ7割がPHPを利用しているという試算もあり、影響は甚大です。

 

　同日中に欠陥を修正するパッチが配られましたが、これらが適用される間、サイトを緊急閉鎖する企業も多かったですね」（ネット担当記者）

 

　タイムズモビリティ株式会社では、9月25日に免許証などを含む約600万件分の個人情報が流出。また「焼肉きんぐ」の運営会社では、会員情報が約1078万件流出したことも明らかになった。

 

　さらに、GMOインターネットグループが提供するFX自動売買向けサービスでも不正にアクセスされたうえ、勝手にFX取引をされ資産を失うなど深刻な事態となっている。

 

　はたして、ネット空間で何が起きているのか。サイバーセキュリティに詳しいジャーナリストの山田敏弘氏はこう語る。

 

「サイバー攻撃の件数だけを見ると、劇的に増えているとは言えません。長期的に見れば増加しているのは間違いありませんが、過去2年と比べて2026年に激増しているとは言えないんです。ただ、攻撃の質が変わってきているとは言えるでしょうね。その原因が何かといえば、やはりAIの登場なんです」（山田氏・以下同）

 

　人間では絶対に不可能なレベルの計算をこなすことができるAI。便利な一方で“悪用”されれば、これまで以上の脅威となる。

 

「AIによって、インターネットにさらされてるシステムの中である“セキュリティの穴”が短時間で見つかってしまうようになりました。いわゆる脆弱性です。しかも、穴を発見してから、どこにターゲットを絞ってどう攻撃するかということも、AIがほぼ自動でやってくれるんです。下手したら本当に何十秒とかで攻撃できてしまうんです」

 

　これまで、サイバー攻撃の主流はランサムウェアだった。

 

「大事な内部情報をすべて暗号化して、解除してほしければ身代金を払え、というマルウェアですね。これが典型的なパターンだったのですが、こうした攻撃を仕掛けるのは高度な技術が必要です。

 

　一方、“個人情報が流出した”と騒がれているサイバー攻撃のケースは、少し違います。システムに入ってくるまでは同じですが、別にウイルスに感染させるわけでもなくて情報を盗んでただ帰ってくんです。そしてその情報をダークウェブなどで売るんですよね。こうした攻撃はランサムウェア攻撃などと比べてそこまでレベルは高くない。無人の事務所を荒らして、そこにあるものを盗んでいって他で転売するような、空き巣と同じですよね」

 

　もちろん個人情報が漏れるのは問題だが、深刻な被害につながるケースは多くないという。

 

「たとえばクレジットカードの情報が漏れても、不正に使われた責任はクレジットカード会社になりますからね。もちろん、盗まれた企業側からすれば株価が下がったりセキュリティにおカネがかかるという問題はあるでしょうけどね」

 

　こうした“空き巣”を支えるAIは、その多くが中国製だという。

 

「たとえばAIといっても我々は普段ChatGPTなどを使いますよね。あれはオープンAIという会社が提供しているサーバーに我々がアクセスして、使わせてもらっているという状況です。

 

　しかし、それだと機密情報や個人情報などをオープンAIに握られる可能性がある。そのため民間企業などはAIモデル（パラメーター）をダウンロードしてきて、お金を払って自分の会社仕様に変えたりできる『オープンウェイト』という形式を利用するケースがあります。中国のAIはこうしたオープンウェイト方式が圧倒的に多いんです。

 

　また、AIには『ガードレール』というものがあって、テロ目的の『爆弾の作り方を教えてくれ』とか『サイバー攻撃の仕方を教えてくれ』と聞かれても教えないルールがつくられているんですよ。しかし、これも米国製のAIとは違って、中国のモデルはそもそもガードレールが緩く、外せる可能性があります。

 

　先月も韓国の金融機関が2カ所ほどサイバー攻撃をやられましたけど、そこで使われたのは中国製AI活用型の侵入テストツールでした。要するに犯罪者が中国製モデルをダウンロードして悪用している兆候が出ているという報告が挙がっており、今日本に来ている攻撃でも使われているのではないかと専門家は分析しています」

 

　件数自体は今後も増加する可能性が高いという。

 

「中国やアフリカなど失業率が高いところで、学校でプログラミングの知識を持った若者が働き口がなくて犯罪に走るケースは多くなると思います。そういう人たちがAIを使って盗んだ名簿を地下で売ったり、脅迫に使ったり、トクリュウなどの犯罪組織に売りつけて商売をやる可能性があります。あとは日本を良く思っていない活動家（アクティビスト）が、混乱を引き起こすために使う可能性もあるので、おそらく件数はどんどん増えますよね。

 

　対応する側もAIを使っていかないとスピードに追いつけません。脆弱性が発表されても、専門の人を置いていない中小企業ならアップデートし忘れているパターンもあります。自動でAIが見てくれるソリューションも世の中にありますが、お金や知識がなくて導入できなければ、被害に遭うだけということになります。

 

　一方、個人でできる対策はこれまでと変わりません。さまざまなサービスのログインは多要素認証を使うようにするとか、見覚えのないメールやショートメッセージは開かないといったことです。ここら辺のリテラシーはあがってきていると思いますよ」

 

　自分の身は自分で守るしかない。