不正アクセスなぜ急増 原因はAIか、それとも…… 専門家の見解は

9月末以降、タイムズカーシェア、焼肉きんぐ、大和証券など著名企業から不正アクセスによる大規模情報漏えいの発表が相次いでいる。最大1000万件超の個人情報が流出した事案もあり、「原因はAIの進化か」「便乗発表では」といった臆測も飛び交っている。だが、セキュリティ企業ラックのCTOは公表情報からは「同一の攻撃者による単一キャンペーンとは判定できない」と慎重な見方をしている。

ここで引っかかるのは「公表日の集中」と「実際の攻撃集中」を区別する視点だ。各企業の調査・公表時期が9月末に偶然重なった可能性、複数回分割発表された事案の存在など、相次ぐように見える背景は意外と複雑だ。攻撃者の視点で見れば、むしろ共通しているのは「狙う標的の条件」にある。消費者向けWebサービスやSaaSプラットフォームは、効率よく大量の個人情報を一度に取得できる。免許証番号や顔写真といった「変更困難な身元情報」と、宿泊予約などの「行動情報」を組み合わせれば、精密なフィッシングや不正な本人確認に使える。つまり「組織的な単一攻撃」というより「犯罪経済的に合理的な標的選択」が共通点だ。

AIエージェント・GLM-5.3といったオープンモデルが直接使われた証拠は現時点でない。だが「中長期的にはAIが攻撃の準備時間と専門性の敷居を大きく下げる」という警告は重い。今後、攻撃資源の民主化が進めば、高度な手口は専門家だけのものではなくなる。中小企業も「いつか自社が狙われる前提」で、入力情報の管理と出力の検証、シャドウAI対策に本気で取り組む時期がきている。