日本企業のウェブサイトや会員サービスで、不正アクセスと個人情報の流出が相次いでいる。攻撃の脅威を高めているのが、AIの進化だ。ガートナージャパンは10月13日、企業に緊急点検を求める提言を発表した。www.gartner.co.jp
AIで攻撃の速度と規模が変わる
ガートナーは、韓国の複数の金融機関への不正アクセスで、中国製の侵入テスト用ツール「ARTEX」と大規模言語モデルを組み合わせた攻撃が報告されていると説明している。本来は防御のために弱点を探す技術も、攻撃に転用される。
2026年にはAnthropicの「Mythos」を巡っても、AIの能力向上がサイバー攻撃に及ぼす影響が注目された。ガートナーは、一般公開の見送りで急激な攻守の格差拡大は回避されたものの、攻撃側のAI活用は今後も進むとみている。
問題は、弱点の探索や攻撃プログラムの作成を自動化し、短時間に多数の対象を攻撃できるようになることだ。従来の対応速度では、修正前に弱点を突かれる危険が高まる。
大企業でも基本対策は不十分
一方、防御側の備えは追いついていない。ガートナーが7月に実施した調査では、日本の大手企業で脆弱性管理を十分に実施できている企業は30%だったという。これは残る企業がすべて被害を受けたという意味ではないが、対策の不足を示す数字だ。
JPCERT/CCも10月8日の注意喚起で、既知の脆弱性や設定不備、システム同士を接続するAPIへの不正な操作などを挙げた。一般向けサービスに加え、従業員向け管理システムやデータ分析ツールも被害に遭っている。公開サイトの見た目だけを点検しても十分ではない。www.jpcert.or.jp
対策は「点検・監視・被害抑制」
企業がまず行うべきは、外部から接続できるシステムの洗い出しだ。使われなくなった管理画面や委託先のシステムも含め、ソフトウェアの更新状況、認証、アクセス権限、設定を確認する。
次に、不審なアクセスや大量のデータ取得を早期に発見できるよう、複数のシステムの記録を横断して調べる。侵入された場合に備え、内部の接続範囲と管理者権限を絞り、被害が広がるのを抑えることも必要だ。
利用目的を終えた個人情報の削除、委託先との緊急連絡体制、バックアップや顧客通知の手順も確認したい。重大な弱点が見つかれば、サービスの制限や停止を迅速に判断する必要がある。
セキュリティ投資の効果は、被害が起きるまで見えにくい。しかし、顧客情報が流出してから謝罪しても、信用は簡単には戻らない。AIの導入を成長戦略として語る経営者には、そのAIを使う攻撃者から顧客を守る責任もある。担当部署に対策を指示するだけでなく、予算と権限、そして緊急時の判断を引き受けることが求められる。
コメント