相次ぐ大規模情報流出、サイバー攻撃にAIが加わると何が変わるのか？ 攻撃の実態と企業が見直すべき対策とは

　日本の企業と行政が、過去に例のない規模のサイバー攻撃にさらされている。9月末からの1カ月、個人情報の流出やサービス停止を公表する企業が毎日のように現れ、首相が深夜にXでソフトウェアの脆弱性への対応を呼び掛け、政府は関係閣僚会議を開いて緊急対策パッケージの策定に動いた。国内で今年公表された被害は10月9日時点で659件と、2024年1年間の645件をすでに超えている(トレンドマイクロ集計)。 　流出の桁も変わった。カーシェアのタイムズカーでは約660万アカウント、焼肉きんぐでは会員1078万8963件が不正アクセスを受けた。クラウド事業者のIDCフロンティアはランサムウェアで基盤ごと止まり、495の企業や自治体が巻き込まれた。GMOインターネットグループは脅迫を受け、犯人の特定につながる情報に上限100万ドルの懸賞金を出すまでに至った。

　日本の企業と行政が、過去に例のない規模のサイバー攻撃にさらされている。9月末からの1カ月、個人情報の流出やサービス停止を公表する企業が毎日のように現れ、首相が深夜にXでソフトウェアの脆弱性への対応を呼び掛け、政府は関係閣僚会議を開いて緊急対策パッケージの策定に動いた。国内で今年公表された被害は10月9日時点で659件と、2024年1年間の645件をすでに超えている(トレンドマイクロ集計)。 　流出の桁も変わった。カーシェアのタイムズカーでは約660万アカウント、焼肉きんぐでは会員1078万8963件が不正アクセスを受けた。クラウド事業者のIDCフロンティアはランサムウェアで基盤ごと止まり、495の企業や自治体が巻き込まれた。GMOインターネットグループは脅迫を受け、犯人の特定につながる情報に上限100万ドルの懸賞金を出すまでに至った。

　これまでと違うのは、攻撃する側でAIが使われていることが確認された点だ。国内のサイバー攻撃の報告を受け付け、被害を受けた企業の対応を技術面で支える中立機関のJPCERTコーディネーションセンター(JPCERT/CC)は10月23日、本来はシステムの弱点を探す検査に使う、AIで動く侵入ツールを攻撃者が悪用していたことを確認したと注意喚起に書き加えた。どの流出がAIによるものかは分かっていない。それでも、AIは攻撃の何を変えたのか。被害対応の現場と分析機関に聞いた。

■変わったのは腕前ではなく採算 　人の指示を受けて自分で手順を組み立て、作業を進めるAIをAIエージェントと呼ぶ。このAIエージェントで最も変わるのは、攻撃の能力そのものか、それとも人手や費用といった採算か。 　JPCERT/CCの佐々木勇人氏(脅威情報アナリスト)は、今起きているのは既知の脆弱性や管理不備を突く従来の手法のまま、規模と攻撃のテンポが効率化されたものだと整理した。「攻撃の成功率がものすごい高いというよりも、数と回数が圧倒的に多いので、成功した数も多い」。偵察や探索のような機械的な作業を、これまでは人間が無理に担っていたのだという。

　ラックの米田智紀氏(AI技術グループ)も「最も大きく変わるのは、攻撃の採算性」と答えた。偵察、攻撃経路の探索、認証情報の検証、侵入後の調査を低コストで並列に続けられるため、従来なら費用対効果が合わず狙われなかった企業まで攻撃対象に含まれるという。トレンドマイクロの高橋昌也氏(TrendAI シニアスペシャリスト)も、攻撃者は金銭の見返りが見込める相手を狙うが、費用と時間がかからなくなれば、これまで割に合わなかった中小企業も標的に入ると説明した。

　NTTセキュリティ・ジャパンのインシデント対応担当者は、採算に加えて参入障壁の低下を挙げた。攻撃の中身が高度になったのではなく、攻撃者に要る技術が下がった。高度な技術を持たない人でも、事前知識なしに攻撃を実行できるようになり、「企業が実際に受ける確率も上がるのはほぼ間違いない」と答えた。 ■狙われているのは古い穴 　情報処理推進機構(IPA)は、AIが編み出した新しい攻撃の型は現時点で承知していないとしたうえで、「既知の脆弱性を突く従来型の攻撃が、AIによって速く大量に、津波のように押し寄せている状況」と表現した。

　情報通信研究機構(NICT)は10月13日の注意喚起で、Google Playの日本向けアプリを解析して接続先サーバーの仕様を調べ、サーバーごとに攻撃を変える手口を「A2B攻撃」と名付けた。 　主な対象は、サーバーに意図しない通信をさせる不備、外部から命令を実行できる不備、データベースへの不正な命令、他人のデータを見られる認可の不備の4種類で、いずれも以前から知られた類型だ。JPCERT/CCも15日、攻撃者のサーバーからAndroidアプリを解析して特定したAPI(アプリとサーバーの通信口)の脆弱性を探った痕跡が見つかったと公表している。

　トレンドマイクロの研究チームは23日、攻撃者が公開状態のまま放置していたサーバーのファイルから、日本を最大の標的とする3つの攻撃基盤を解析した結果を公開した。うち1つでは、オープンソースのAI侵入ツール「CyberStrikeAI」が偵察から報告書作成までの工程を担っていたことを、作業記録と管理画面から確認した。それでも侵入口は公開された旧式のシステムや設定の不備で、AIが変えたのは攻撃の規模と速度であって侵入口ではない、と同チームは結論づけている。

■痕跡は被害企業には残りにくい 　佐々木氏は、どの攻撃にもAIは既に使われていると想定しつつ、「被害現場の痕跡からその証拠をつかむことは基本的にできません」と答えた。証拠が得られるのは、AIサービスの提供側が不正利用を検知したときか、攻撃者が使ったサーバーにAIエージェントや操作ログが残っていたときに限られるという。 　NTTセキュリティ・ジャパンの担当者も、今年対応した事案で「明確にAIエージェントと判断できる事案はありませんでした」と答えた。AIも世の中にある攻撃ツールを使うため、痕跡だけを見れば人間がツールを使った攻撃と大きくは変わらない。違いが出るとすれば、情報収集から認証情報の窃取、社内の他のサーバーへの侵入、持ち出しまでにかかる時間の短さや、用意されたものとは思えない長いコマンドが短時間に大量に実行されている点だという。

　JPCERT/CCが確認したAIの利用も、被害企業ではなく攻撃者側のサーバーから確認したものだ。複数の組織と連携して攻撃に使われた可能性のあるインフラを調べ、15日に「攻撃者がAIを利用して、既知の脆弱性のスキャンやAPI経由での攻撃などを実施していたことを確認しました」と公表した。23日の注意喚起ではCairn、CyberStrikeAI、ARTEXという3つのツール名を挙げている。 　このうちARTEXとCyberStrikeAIは、AIに弱点探しから侵入までを自動でさせるソフトで、企業が自社システムを検査する目的でオープンソースとして公開されていた。誰でも入手できるため、攻撃者はそれをそのまま攻撃に転用した。日本では19日にGMOサイバーセキュリティ byイエラエが、ARTEXを使うサーバー6台が日本企業を狙っていたと発表している。

　海外のセキュリティ企業の報告を「AIセキュリティ短信」で追っているIPAは、今年の変化として、AIエージェントによる攻撃が研究者の実証報告から実際のインシデントの報告へ移ったことを挙げた。ただし、人間が背後にいてAIに攻撃の工程を担わせる「半自動攻撃」は複数の報告から類型として成り立つと見る一方、人の関与なしに完結する全自動の攻撃については評価を示していない。個別の事例を独自に検証する立場にないことも明言した。

　侵入テストの自動化を研究するラックの豊田宏明氏(AI技術グループ)は、ラボ環境では多くの作業を自律処理できるようになったが、高度で複雑な攻撃シナリオでは専門家の補助なしに完遂できないケースが残ると答えた。攻撃が止まる原因はツールの実行や状態管理ではなく、タスクの複雑さとモデルの推論力にあるという。米田氏は攻撃者側の現在地を、人間が方針を決めてAIが探索と実行を速める運用が実戦的な規模に達しつつある段階と見ている。

■点検するのは自社の公開サーバー 　佐々木氏は、既存の脆弱性対策と推奨されるAPIの設定・運用をしている組織は今回の攻撃を防げており、「現時点では基本的な対策がまだ有効です」と述べた。NTTセキュリティ・ジャパンの担当者も、攻撃者が人からAIエージェントに変わったからといって、対応の現場で実施することは変わらないと答えた。 　AIが攻撃者の道具になったことは、攻撃者側のサーバーから裏付けられた。一方で、被害企業の手元にはその痕跡が残らず、どの流出がAIによるものかは今後も公表されない見通しだ。企業にとって、それを待つ意味はない。攻撃者が安く大量に試せるようになった以上、狙われる条件は会社の規模や知名度ではなく、公開サーバーに古い穴が残っているかどうかに移った。

　点検する場所は決まっている。自社のアプリやサイトが接続するサーバーに、NICTが挙げた4種類の不備が残っていないか、そのサーバーのログに身に覚えのない大量のアクセスがないかだ。誰に聞いても答えが揃ったのは、やるべきことが以前から変わっていないという点だ。変わったのは、それを後回しにしたときの代償の大きさだ。