「たった2分で600万円を失った」GMO被害者が語る恐怖…急速に発展するAIサイバー攻撃の「新たな手口」とは

　予測を遥かに上回るスピードで進化を続けるAIが、世界を大混乱へと陥れている。その脅威は日本にも直撃し、名だたる大企業が次々と標的となって個人情報の流出被害が相発。サイバー攻撃を受けたGMOインターネットグループの熊谷正寿社長は、記者会見の場で涙ながらに謝罪する事態となった。 　なぜいま、ハッカーは日本を狙うのか。「 週刊文春 電子版 」では、狙われる構造的要因や、個人・企業が大切な資産を守るための具体策を特集。本記事では、急速に迫るAI悪用の実態について、一部を抜粋してお届けする。

　予測を遥かに上回るスピードで進化を続けるAIが、世界を大混乱へと陥れている。その脅威は日本にも直撃し、名だたる大企業が次々と標的となって個人情報の流出被害が相発。サイバー攻撃を受けたGMOインターネットグループの熊谷正寿社長は、記者会見の場で涙ながらに謝罪する事態となった。 　なぜいま、ハッカーは日本を狙うのか。「 週刊文春 電子版 」では、狙われる構造的要因や、個人・企業が大切な資産を守るための具体策を特集。本記事では、急速に迫るAI悪用の実態について、一部を抜粋してお届けする。

「最初に異変に気が付いたのは10月21日の午後4時頃。FX口座の取引画面を見ていると、数秒おきにどんどん損失が出て、たった2分間のうちに600万近くを失ってしまって――」 　そう語るのはFX取引を副業とする40代の会社員男性。利用していたのは、GMOインターネットが提供する「お名前.com デスクトップクラウド」。仮想サーバーに接続することで24時間、自動取引を可能にするサービスだ。 「GMOは国内でも最高のセキュリティだと思い信頼していました。最初はエラーかと思いましたが自分が設定したのとは違う設定で取引されており、『これはハッキングではないか。AI攻撃ではないか』とパニックになりました」（同前） 　その2時間後、男性のもとに一通のメールが届く。そこにはこう綴られていた。 〈我々はHacking Teamです。GMOが我々との交渉に応じることを拒否したため、予告通り、アカウントの残高をすべて破壊しました〉 ◇ 　サイバー空間の安全性が揺らいでいる。 　高市早苗首相が「皆様に大至急のお願いです」とXに投稿し、異例の呼びかけをしたのは21日午後9時55分のこと。 　プログラミング言語PHPに深刻な脆弱性が発見されたという報告を受け、「午後11時に公開される修正パッチを可及的速やかに適用する準備をすること」「それが困難な場合は、ウェブサイト等を一時的に停止させることも、リスクを低減させるための有効策」と注意喚起を行ったのだ。 　PHPは日本のホームページの約9割で使われているプログラミング言語。国際ジャーナリストの山田敏弘氏が解説する。 「サイバーセキュリティ企業が米OpenAIのモデルなどを使うことで、2件の脆弱性を発見。ソフトウェアやシステムにある脆弱性の深刻度を0から10で評価するCVSSスコアは9.2と、事態は差し迫っており、金融機関やインフラが攻撃されると大きな被害に繋がるため、速やかに対応する必要がありました。実際に、修正パッチが公開されるまでの20時間のうちにAIを悪用したと考えられる大量の不正アクセスが検知されています」

　9月末から相次ぐ不正アクセスも新たな局面を迎えている。10月に入ってもその猛威は収まらず、被害は個人情報の漏洩だけでなく証券会社での「不正取引」に及んだ。 　10月20日、岩井コスモ証券はシステム運用の委託先がサイバー攻撃を受け、顧客の7つの口座で不正な売買の注文が出されており、そのうちの5口座で取引が成立していたと発表。 「株価を操作し利益を得るための不正売買と見られている。676万件の総当たり攻撃があった日もあり、沖津嘉昭会長は会見で、『個人的にはAIによるものだと思う』と語っている」（経済紙記者） 　冒頭で触れたように、21日には「お名前.com デスクトップクラウド」で不正取引が起きた。 「以前から社内で指摘されていたシステムの脆弱性を突かれた格好で、発表によれば不正アクセスの影響を受けた可能性があるサーバーは約2万7000件。GMOは攻撃側から100万ドルを支払うよう脅迫されていたがこれには応じず、被害者に対し不正取引と認められた損害について補償すること、サービスの利用者へ一律5000円の見舞金を支払うことを約束した」（同前） 　しかし――。24日、被害者に再びハッカーからのメールが届く。 「『27日までにGMOが金を払わなければ、個人情報を公開する』という脅迫文が書かれていた。他の被害者と連絡を取り合ったところ、少なくとも十数人は同様のメールを受け取っているようです」（被害男性） 　さらに攻撃側はGMOが金銭を支払わなければ、サーバー経由で乗っ取った顧客個人のPCにランサムウェア攻撃を行うと宣言。明治大学大学院理工学研究科情報科学専攻の齋藤孝道教授は、今回の手口について次のように語る。 「従来のランサムウェア攻撃は、企業のシステムを乗っ取って身代金を要求し、拒否されれば盗んだ情報を公開すると脅す、二重脅迫でした。今回のように顧客の金融資産を直接狙い、不正取引による損失を脅迫材料とした事例はこれまで聞いたことがなく、新たな手口と感じる。企業へプレッシャーをかけることが狙いではないか」 《この続きでは、「日本がブルーオーシャン」となっている理由、資産を守るためにできる対策などを詳しく報じている。記事の全文は「 週刊文春 電子版 」で読むことができる》