黒坂岳央です。
最近、サイバーセキュリティ関連のニュースが騒がしい。先日もPHPの脆弱性について世界中が大騒ぎとなった。また、国内でも企業への不正アクセスや個人情報の流出が相次いで報じられている。もはやサイバー攻撃は、一部のIT企業だけが警戒すればよい問題ではなくなった。
生成AIは、すべての人に等しく恩恵を与えた技術のように見えるが、生成AIの恩恵を最も大きく受けているのは、実はサイバー攻撃者を含めた犯罪者ではないだろうか。
もちろん、誰が一番AIを使いこなしているかを示す客観的なランキングがあるわけではないが、AIの影響で起きている混乱や破壊、犯罪は一般の人が得ているメリットを超えているように見える。持論を述べたい。
AndreyPopov/iStock
生成AIは犯罪の参入障壁を破壊した
従来、サイバー攻撃には相応の専門知識が必要だった。ところが生成AIの登場によって、この参入障壁が大きく下がっている。
たとえば、かつて日本はサイバー攻撃から狙われにくかった。「日本語」が壁となっていたからだ。昔から詐欺への誘導はゼロではなかったが、どれもあまりにも不自然すぎる日本語なので「あんな稚拙なのに騙される方がバカ」という認識を持っていた人もいるだろう。
しかし、生成AIは犯罪者の能力を底上げした。日本語の壁も関係ない。もはや人の目では本物かどうかも分からないほど精巧に作られている詐欺サイトも多い。正規ドメイン「sites.google.com」の悪用してパスワードマネージャーすら騙す手法も出ている。
筆者はもう自分の眼力を鍛える方向は諦めたほうがいいと思っている。精巧に作られたサイトは人の目で分かるものではない。答えはパスキーを物理デバイスに保存して認証することだ。
自分の場合は「重要情報にアクセスする専用PC」で運用している。専用回線を使い、何もインストールせず、何も拡張機能を入れない。Googleアカウントへのログインなしで使う。専用のメールアドレスで、リンクや添付ファイルは絶対に開かない。ログインはYubikeyに保存したパスキー認証のみ。このくらいやらないともう防御しきれない。
犯罪者ほどAIの費用対効果が高い
筆者が特に重要だと考えているのは、生成AIによる「犯罪の費用対効果の改善」だ。
一般人が生成AIを使う目的は、仕事の効率化や情報収集、趣味などさまざまだ。文章を10分早く書けるとか資料作成が1時間短縮される。そして英語の勉強が便利になった恩恵ももちろん大きい。
一方、犯罪者にとってのAIは、もっと直接的な利益につながる。たとえば、従来は1日に100人にしか送れなかった巧妙な詐欺メールを、AIによって1万人に送れるようになったとする。仮に被害者になる割合が同じなら、攻撃対象を100倍に増やせることになる。
さらに、AIによってメールの文章が自然になり、相手の国や言語に合わせた内容を作れるようになれば、攻撃の成功率まで高まる可能性がある。これは犯罪者から見れば、営業活動の効率化と同じ構造だ。
AIが仕事を効率化するということは、犯罪という「仕事」まで効率化してしまうということなのだ。
攻撃者は進化するが、防御側は昔のまま
ここで問題になるのが、防御側との非対称性だ。攻撃者は新しい技術を見つければ、すぐに試すことができる。失敗すれば別の方法を考えればよい。
一方、企業がセキュリティ対策を変更するには時間がかかる。システムの改修には予算が必要であり、既存サービスとの互換性を確認し、従業員に新しい運用を教育しなければならない。冒頭で述べたPHPの脆弱性騒動も同じだ。
「絶対侵入されない仕組みを目指す」というのは非現実的で、「侵入されても重要情報が置かれていない。潰されてもすぐバックアップで復旧できる」、こういうサイトを目指すべきである。
実は筆者も数年前、サイバー攻撃を受けてサイトを潰されたことがある。その時の教訓から、常にバックアップを何重にも取り、重要情報は上述した専用端末でのみローカル処理するようにして普段遣いのPCと分けている。
一般企業でもサイバー攻撃を前提とした運用が必須だろう。
◇
「犯罪者は頭が悪い」というイメージは広い共通認識かと思うが、正直いって詐欺系の犯罪、特にサイバー犯罪については一般人より遥かに賢くて優秀な人がやっている。
さらに防御側はたった1点穴があると、それで突破される非対称性がある。攻撃側は常に有利なので「攻撃されない」ではなく「攻撃されても被害が出ない」運用を考える時代になったと認識するべきだろう。
■
2026年7月、全国の書店やAmazonで最新刊絶賛発売中！
「Z世代を甘やかすな」（著：黒坂岳央）
コメント