AIによるサイバー攻撃の嵐

サイバー犯罪者が、強力なサイバー攻撃能力を持つAIを活用し、サイバー被害を深刻化させる近い将来の事態に警鐘を鳴らしていたのだが、残念ながら、今私たちが直面している状況に非常に近い。警告が早くも現実化してしまっていると考えられる。
※なお、中国製のオープンウェイトAIモデルが効果的なサイバー攻撃に応用可能であるという話と、中国関連のサイバー犯罪グループがそれらを実行しているという話は、無条件に結びつく内容ではない。

日本だけでなく、韓国をはじめ世界各国でサイバー攻撃が報告されている。私たちは今、サイバー攻撃と被害がAIによって１段階深刻化する、歴史的転換点をリアルタイムで経験している。

サイバー攻撃と被害の次の展開予想
​それにしてもなぜ、情報漏洩事案が急増しており、システムの停止や企業脅迫といった種類の被害事案の増加率を大きく上回っているのだろうか。理由の考察については、データが少ないこともあり、現時点ではまだ共通理解の形成まで至っていないと考えている。複数の専門家によって多様な意見が交わされている段階という印象だ。

どの考え方も、もっともらしい内容を含み、かつ、同時に十分な根拠がない。確固とした証拠というよりも推測に基づいた議論が、継続中の状況だ。

私も同じで強い根拠を示すことは難しいのだが、個人的には、【⑤】も可能性があると評価している。
理由は、データ窃盗というゴールが、AIを使う先駆的なサイバー犯罪者が目指しそうな経済的利得の規模に見合わないのではないかと思うからだ。個人データを売るとか、詐欺の精度を上げて儲けを増やすとか、個人データの身代金を得るとか、そのような行為から得られる犯罪成果は、サイバー攻撃の先駆的なAI化という試みに対して不釣り合いなのではないかと評価している。攻撃者の意図は裏付けられてはいないが、もっと大きな規模の犯罪成果を企図する可能性も否定できないだろう。

そしてその延長として、【⑥】の検討が避けられない。
すでに、他人の金融口座の乗っ取りや違法な資金操作の被害が発生している。（※８）（※９）
サイバー攻撃者の意図が明確に裏付けられている現状ではないが、より被害深刻度の高い犯罪行為がサイバー攻撃者の発展的な狙いで、現時点での活動は前段の準備に過ぎない可能性も、疑うべきなのではないか。継続して注視し、警戒していく必要がある。

IMF(国際通貨基金)は2026年5月、「サイバー攻撃能力が高いAIの出現は、世界に金融システム不安と金融危機をもたらす可能性がある」というブログを公開している。（※１０）
５月当時は、最悪の事態を想定したレアケースのリスクを評価していると解釈し読み流していたのだが、AIサイバー攻撃によって金融口座乗っ取りが行われ犯罪者が口座資産を盗難する事態がもし頻発するならば、IMFが警告した金融パニックが本当に現実化しかねない。

今後必要な対応
いずれにしても、企業のWebシステムを標的としたサイバー攻撃は今後も収束せず、攻撃件数の多い状況がまだ続くだろう。しかも、AIによる自律的な判断と行動を取り込んでスピード・効果・攻撃件数を向上させた、レベルアップされたサイバー攻撃を受け続ける状況を、各企業は覚悟すべきだ。
AIを使ったサイバー攻撃において、AIは自律的に、そして個社別のIT設定に応じて柔軟に、人間が見過ごしているシステムの穴を見つけ侵入して来る恐れがある。単体では影響の小さいシステム不備を複数組み合わせて侵入する場合もあれば、今まで誰も気付かなかったシステム不備に未知の攻撃を仕掛けて侵入する場合もあるだろう。情報漏洩報道の第一波、第二波に名前が挙がらなかった企業でも、次の攻撃の時には、プロンプトの中身を変えたAIによる変化した攻撃を防御できないかもしれない。

そのような困難な状況の中で、各企業には今後、どのような対応が求められるのだろう。

当然ながら、公表済みの深刻な脆弱性への対応は、最低限の対応として完了させておかなければならない。自社システム群のどこにどのような脆弱性が残っているか把握し、深刻なものへは補正対応を済ませる。そうしなければ、もういつ、AIによってサイバー攻撃されてもおかしくない状況だ。実際に推進すると簡単な対応ではないのだが、それでもこのラインが最低限の対策となる。

また、これも基本的な対応策となるが、いわゆる多層防御を、自社システムに対して適切に設定する必要がある。自社システムの設定不備をひとつ突破されたとしても、次の壁で被害に至る事態を食い止める。

次に、AIを使った自社システムへの疑似サイバー攻撃テストを実施し、事前にAIサイバー攻撃を想定した自社システムの弱点を把握する方法がある。いわゆる、AIペネトレーションテストといわれるサービスを、提供するツールや事業者が複数存在する。思いもよらないシステム不備が発見されるかもしれないので、見つけ次第補正する。

ここまで述べた企業の防御対応には、一定の人員と体制が必要だ。サイバーセキュリティ組織と運営の強化を目的に、採用・人員増強・体制整備・人材育成・専門コミュニティとの窓口強化など、覚悟を決めて人的投資と増強を行わなければ、AI時代の適切なサイバー防御を実現することはできないだろう。

さらに総括するとどの企業でも、システム投資も人的投資も、従来よりも増額することが避けられないだろうと評価している。昨今、AIへの投資がどの企業でも盛んであり並行してAI人材への投資の必要性もよく語られているが、営業支援や業務効率化を実現するAIへの投資だけではなく、サイバーセキュリティを支援するAIと人材への投資も、両方同じくらい大切だという議論が、2027年頃には普通になっているのではないかと予想する。

最後に、共同防衛の戦略が検討される可能性がある。
サイバーセキュリティはもうすでに、非競争領域になっている。同業他社同士でも協力して、お互いがサイバー攻撃にあわない共通の目標を目指す戦略が、受け入れられやすい状況と評価できる。
業界のトップ企業や業界団体、業界内でシェアの高いITベンダーなどが主導した、共同サイバー防衛機構が、検討され実現していくことも近い将来に起こりえるだろう。

自民党の国家サイバーセキュリティ戦略本部は、政府へのサイバーセキュリティ対策提言を取りまとめたと発表し、各省庁をまたいだ体制を構築し国を挙げてサイバー防御能力を高める必要性を訴えている。（※１１）
「サイバー対処能力強化法」「サイバー対処能力強化法整備法」も2026年10月に施行され、法定の手続きのもとで自衛隊もしくは警察庁がサイバー攻撃元サーバーへアクセスし、無害化措置を行うことも可能となっている。（※１２）
サイバーセキュリティの共同防衛に、将来的に国が関わる構成となる可能性も考えられないことではなく、むしろ各企業は今から、サイバー防御を個社ではなく共同で実現するための活動を、検討していくことが望ましいかもしれない。