Photo:Surasak Suwanmake/gettyimages
この秋から爆増している企業・団体のITシステムを狙ったサイバー攻撃。AIによる攻撃の自動化が背景にあるとみられるが、今何が起きていて、企業はどう対策をすべきなのか。連載『AIバトルロイヤル』の本稿では、国内外のサイバー攻撃情報の収集・分析や被害対応の支援を担う民間の非営利組織であるJPCERT/CCの佐々木勇人・サイバーセキュリティコーディネーショングループ 担当部門長 兼 政策担当部長に、現状の分析および企業が取るべき対応について聞いた。（聞き手／ダイヤモンド編集部 鈴木洋子）
AIエージェントがサイバー攻撃を自動化
ウェブアプリや会員サイト経由で攻撃された
――企業や政府公共機関のシステムを標的にしたサイバー攻撃が相次いでいます。一連の攻撃をどのように分析しますか。
ランサムウエアのように別系統のものも同じ時期に重なるなど、全てが同じ攻撃というわけではありませんが、共通しているのは、一般の利用者がIDとパスワードを入れて使う会員向けウェブサイトやウェブアプリなどが攻撃を受け、情報漏えいにつながっているという点です。
10月15日に公表したレポートの通り、不正アクセス元のサーバー、いわば攻撃のインフラを調べたところ、AIエージェントのプログラムが見つかりました。攻撃者は国内外にこうしたサーバーを多数用意し、そこからほぼ自動で、日本企業に向けて大量の攻撃を仕掛けていると考えられます。
実は一つ一つの攻撃手法そのものは、決して新しいものではありません。まだ現時点で全てを調査できているわけではありませんが、API（アプリがサーバーと機械的にやりとりするための通信の出入り口）の管理や監視の甘さが突かれている状況です。未知の脆弱性を使うゼロデイ攻撃が行われたという情報は来ていません。しかし一度に大量に、広い範囲で同時に行われているため、被害が非常に多いように見えているのです。
また、BI（ビジネスインテリジェンス：企業に蓄積されたデータを収集・加工・分析し、グラフなどにして可視化する仕組み）など、従業員向けのシステムや、取引先・委託先と使うBtoB向けのシステムが標的にされるケースも出てきました。例えばJPCERT/CCでは「Metabase」というBIツールの脆弱性が悪用された事例を海外で確認し注意喚起を出していましたが、その後、国内でも実際に攻撃を受けた企業が出てきました。日本と同じ時期に韓国でもBI経由で大規模な被害が起きており、大手銀行などの金融機関が影響を受けています。
同じ攻撃グループによるものかどうかは、まだ分析できていません。ただ、仮に異なるグループだとしても、AIが攻撃を試しながら弱点を探せるとすれば、各国で似たような攻撃傾向が生まれる可能性があります。国や地域を順番に攻撃し、さらに2周目、3周目の攻撃を行うことも考えられます。
日本と世界で激増しているサイバー攻撃で、漏えいや侵害の被害に遭った企業や個人も多いだろう。AIがサイバー攻撃のスピードを加速し、その頻度を莫大に増加させたことに対して、企業はどう対応すべきなのか。最近のサイバー攻撃一覧を振り返りながら、具体的な対策を次ページから詳しく見ていこう。
