昨今のサイバー攻撃の急増について

昨今のサイバー攻撃の急増をすべて「AIの脅威」に結び付ける報道に疑問を感じます。AIの脅威が急激に増大しているのは間違いないのですが、AIに関係なく、基本的なセキュリティ対策の徹底によって防げていた事例もあるのではないでしょうか。

昨今の事例の大半は「不正アクセスによる個人情報の漏洩」と公表されていて、業種を問わずランダムに攻撃されているように見え、そこにはたしかにAIの大きな影が感じられます。

それとは別に、より具体的なランサムウェア被害の事例で、ゼロデイ攻撃ではない既知の脆弱性や高権限すぎる管理者アカウントが狙われたとの情報もあり、そこにもAIが関わっている可能性は十分ありますが、最小権限の原則やゼロトラストの徹底、適切なセグメンテーション、アタックサーフェス（攻撃対象領域）削減などの対策が足りていなかったのかとも推測されます。

特にIDCフロンティアとGMOインターネットの事例について、それぞれの実際の状況は判らないので、公表されている情報を単なるサンプルとして、各社の具体的な問題ではなく、あくまで一般化された問題として考察すれば、基本的なセキュリティ対策で同様の被害を防げる可能性があり、詳しくは個々のブログで（IDCフロンティアについてとGMOインターネットについて）論じさせていただきました。

IDCとGMOは日本を代表するIT企業であり、もっと高度なセキュリティ対策をすでに施行している可能性も高いので、両者と他の多くの「個人情報漏洩」被害企業との違いは、専門家ゆえにより具体的な情報を公表しているか否かの違いなのかもしれません。

そもそもランサムウェア被害は公表する法的義務がなく、多くの「個人情報漏洩」被害企業の中にはランサムウェア被害を単に「不正アクセス」と公表しているだけの企業もないとは言い切れません。GMOがランサムウェアの身代金要求額まで公表して「能動的サイバー防御」の適用を訴えているのは、ある意味、セキュリティ専門家ゆえにより社会的な影響を考えた姿勢の表れなのかもしれません。少なくとも、そのほうがさらなる法整備など、結果的に国内全体のセキュリティ体制の改善につながるはずです。

高市首相は26日、サイバーセキュリティに関する関係閣僚会‌議で、相次ぐサイバー攻撃に対処するた⁠め、来週中を目途に政府の緊急対策パッケージをまとめる方針を明らかにした、と報じられています。そこでは、ぜひ、マクロ的にAIの脅威を話し合うことにとどまらず、基本的なセキュリティ対策についても話し合っていただきたいと願います。

おそらく企業との情報共有と連携の強化が主な議題になるのかと推察しますが、AIへの投資と高度なサイバーセキュリティ人材の育成が重要という結論に終わることだけは避けていただきたいです。それはそれで非常に重要なのですが、既存の人材でも十分対応できるのに見落とされている基本的なセキュリティ対策もあるはずなので、まずはそこを強化することから始めたほうが早いのではないでしょうか。そのうえで、脆弱性の早期発見やモニタリングなど、サイバー防御にAIをどう活用できるかを検討するのが正しい順序だと考えます。