相次ぐ不正アクセスと情報流出は何が違うのか：国際ジャーナリスト山田敏弘氏が語る攻撃者の実像、AIの影響、個人ができる対策

不動産投資を学ぶなら楽待。

楽待チャンネルをご覧の皆さん、こんにちは。連日、日本企業への不正アクセス事件がニュースを騒がせております。タイムズカーが約660万アカウントの情報、中でも約160万件ですね、免許証の写真が不正取得されたと公表しまして、銀行口座など本人確認書類としているものですが、非常に大きな波紋を呼びました。

その他にも東京メトロ、焼肉きんぐ、大阪大学、そして大和証券などなど、業種も異なる様々な組織が次々に被害を受けているという状況です。おそらくもうあなたの個人情報もどこかで漏れてしまっているかもしれないというところですが、犯人はどんな組織なのか、二次被害の恐れを防ぐにはどうすればいいのか、この方に詳しく伺いたいと思います。楽待チャンネルでもおなじみ、国際ジャーナリストの山田さんです。山田さん、よろしくお願いします。よろしくお願いします。

山田さんはご自身のYouTubeチャンネルでも、中国、ロシアなどのスパイ活動やサイバー攻撃の最新情報をいち早く発信されています。まずは現在何が起きているのか、今分かっているところを教えていただけますでしょうか？

日本の企業ですよね。しかも名前のある企業ということなので、ニュースに取り上げられるということですけど、そういった企業が今、外部からの不正なアクセスを受けて、個人情報が漏れているということで、しかもその規模が大きいということですよね。

一応、2022年に日本では個人情報保護法というのができていまして、それで、その後の報告規定というのがあって、大体1000人以上の顧客情報が漏れた場合とか、こういうのは報告しなきゃいけない義務ができているんですよね。というのもあって、それができて以降ですね、皆さん、今まではこの言い方は悪いですけど、自分たちで完結できるのであれば、報告せずに。この後話になると思うんですけど、やっぱり報告することによって公表されることのリスクがあるので、皆さんそういうふうにしてこなかったんですけど、今、それも義務もあるということで、調査も自分たちでしながら報告をするという決まりもある中で、やっぱりこういう被害を受けた時には迅速に公開してやると。

しかも1個、大きいところで何個か続くと、1個起きてからその後何個か続くと、やっぱりメディアとしてもわーっと取り上げやすくなるので。一気に、いわゆる同じレベルの攻撃、被害じゃなかったとしても、サイバー攻撃を受けたという、不正アクセスを受けたという事実でばーっと広げて、メディアは取り上げるので、凄まじく起きているというような今の印象になっているんだなというふうに思いますけど、ただ数が多いのは間違いないです。

この数が多くなっている原因、山田さんから見ても結構異常な状況ということになっていますか？

そうですよね。データで見ると、例えば9月、10月頭ぐらいまでの、いわゆる不正アクセスの件数ですよね。2026年で今600件ぐらいですか、になっていますと言っていますけど、これってもうすでに昨年1年間の件数をがっと超えている数字になるので、ということはこれからさらに増えるということを考えると、数は多くなっているのは間違いないということだと思いますよね。

なるほど。その背景にあるAIの進化なども後ほど詳しく伺っていければと思うんですが、日本は世界的に見てどうなのかというところも、ぜひ最初に伺いたいです。国際犯罪組織キリン、直近で大阪でその重要メンバーが捕まったという報道も出ていますが、JNNの取材に対して、日本は世界最悪のコンピューターセキュリティを持っている国の1つだというような、専門家としての忠告です、みたいな感じで取材に答えられていましたけれども、実際のところどうなんでしょうか？

どうでしょうね。少なくとも1つ、今回のサイバー攻撃とか不正アクセスというと、これ、サイバー攻撃、不正アクセスで2つ違う言葉を使いますけど、実は使い分けて皆さんメディアの方々も報じていると思うんですけど、サイバー攻撃というと、例えば今キリンと言いましたけど、キリン、アサヒホールディングスへの攻撃がありましたけども、それをやった攻撃というのは、これランサムウェア攻撃というやつなんですよね。

これはシステムの中に、ランサムウェアという身代金要求型のウイルスを感染させて、それでシステムを暗号化させて使えなくして、元に戻したかったらお金を払えと。これでお金は払わないんだったらと。今、皆さん払わなくなっているんですよね。払うパーセンテージもだいぶ、今、本当に4割とか3割とか、ずっとがんがん下がっていますから。要するに攻撃者は、いわゆるお金が稼げなくなっているという状況があるんですけど、それをやる。

でも企業としては払わないよということになれば、その時に実は暗号化している時に会社中のいわゆる機密データも持っていっているので、じゃあ暗号解除するのにお金を払わないんだったら、実は私たちデータを持っているから、これを公開しますよと。これを公開されたくなかったらお金を払いなさいと、二重で攻撃してくると。これ、ランサムウェア攻撃の典型的パターンなんですけど。これが1つのサイバー攻撃と言われるランサムウェアですよね。

今回、今起きている不正アクセスというのは、今回のやつはランサムウェア攻撃だけじゃないんですよね。つまり、いろんな企業のシステムにばーっと、この後お話しすると思うんですけど、脆弱性と言われるセキュリティの穴とか隙があるんですけど、そこを狙われて不正にアクセスされていると。これはランサムウェア攻撃とはまた違って、これまで我々が見てきたサイバー攻撃という大きな問題になってきたものは、大体ランサムウェア攻撃が多かったんですけど、今回、今話題になっているのはどちらかというと不正アクセスの件だということですね。この件数で言えば、ランサムウェア攻撃も不正アクセスも世界的にどーんと増えています。なので日本だけ特有の現象ではないということだと思いますよね。

キリンに関して言えば、私も以前からランサムウェアを使ったサイバー攻撃をしている、そういう集団にはこちらからアクセスしたりして取材もしていますし、色々、彼ら自身の生態もちょっと見たりとか、大体多いのがロシア系の人たちが多いですよね。ロシアにいるわけではなくて、おそらくいろんなところにいるパターンが多いということですね。

だから1個、まず最初にはその2つを分けなきゃいけないということと、ランサムウェアの話で言えば、彼らはそうやってかなりのお金を稼いでいますので。しかも今おっしゃったのは、日本はセキュリティが弱いと言っているということですけど、実際、それはそうでもなくて。実はそのキリンが攻撃している、彼らは攻撃者の犯行声明をばーっと出すんですけど、そこにアクセスして見てみると、8月以降キリンが攻撃している相手企業の国籍を見てみると、日本って3件ぐらいしかないですよ。

それよりも、例えばドイツはめちゃくちゃ多いです。だからドイツに身柄が今回渡されていますし、ヨーロッパの国が多いですし、アメリカも多いです。別に日本のセキュリティが弱いから日本に来ているというよりは、全般的にやっているということなので、おそらく日本は弱いとかというのは、僕も接触したことがあるから分かりますけど、そういうことを言ってくるんですよ。犯罪ですからね、基本的には。

例えばここで、楽待チャンネルとかで彼らのことをちょっと取り上げたりすると、自分たちのTelegramのチャンネルとかで、自分たちのことが取り上げられたとか、本当にそういうのもSNSで上げたりとかするぐらい、そういうのも気にしていたりとかして。ビジネスとしてやっている感じですから、あんまり彼らの言っていることを真に受ける必要はないかなというふうには思っていますけど。

なるほど。まずは大局的な状況をファクトで見て、過剰に騒ぎすぎないというところが非常に大事かなと思うんですけども、次は敵を知ろうというところで。まず身代金目的だったり、その情報を売りさばいたりというお話があったんですけれども、サイバー攻撃、不正アクセスを仕掛けてくるような組織、あるいは個人は何が目的で、どんな人たちなのかというのを改めて教えていただけますか？

今最初に出たキリンと同じようなランサムウェア攻撃をしてくる人たちというのは、目的はほとんどお金です、基本的に。例えばどういうメカニズムで動いているかというと、彼らはランサムウェア・アズ・ア・サービスと言われるシステムで動いていまして、つまり何人か中心メンバーが、いわゆるウイルスを作るんですね。マルウェアと言っていますけど、攻撃に使うためのツールを作ったり、そのためのインフラを作る。例えば交渉する場合にやり取りするチャンネルを作るとか、そういうのを彼らが全部やるわけですよね。

そこにアフィリエイトと言われるメンバーを募集していて、そういう人たちが集まってきて、彼らにそのツールをいわゆるレンタルする形になる。いわゆるアフィリエイトと言われる人たちはそれを受け取って、それで自分たちがいろんなところに攻撃を仕掛けていくということなんですよね。

それで得たお金、ここで例えば1000万、1000万ということは今ないですけど、例えば1億円、それでこのエージェント1人が、エージェントというかアフィリエイトが稼いだとすると、キリンの場合は多分85％は本人たちが受け取って、ということで出すということ。これでサービスが成り立っているわけですよ。企業として。企業という言い方ですけどね、システム、組織として。だからこれ、ランサムウェア・アズ・ア・サービスという、そういうサービスシステムができて。

彼ら、300人ぐらいいるんだね。すごい数の人たちがいて、それぞれがばーっとやっているので、おそらく中心の人たちはどこに攻撃しているか、現在進行形で行われているものは全部把握していないと思うんです。それは他の集団も同じで、私も直接取材して聞いたこともありますけど、彼らも同じようにやっていて、実は彼らも統制はできていないところがあるんですよね。

あるケース、別の集団でしたけど、彼らは教育機関と病院にはやりませんと、もっともらしいことをね、ランサムウェアをやるのに、ここだけ私は避けますとかと言っていたんですけども、病院、日本の病院に攻撃したんですよね。それを聞いたら、いや、アフィリエイトがやっていることだから知らないと言って。でも、暗号解除するのを送ってきました。解除してくれていいと。でもその時点でもう本当は実はお金も取っていたんですけど。

だからそういうような形でエコシステムがあって、彼らはお金を稼ぐための犯罪の組織として、ビジネスとしてやっている感がありますね。

手口が犯罪なだけで、ほとんどビジネスと同じということですね。

完全に、完全にそうですね。そういう形で、うちの企業と同じですね。ツールを渡してあげるから、稼いだ分のパーセンテージをくれというような形で回っている。ほとんどの人たちはロシア系の人たちが中心にやっている人が多いということが分かっていて、世界中にかなりの数のこういった組織があるので、それが日本とかいろんなところに攻撃をしているというのが1つのパターン。

あとは普通の犯罪組織とか、国家の情報機関とか、スパイ組織とかに絡んでいるような人たちが情報を盗んだり、あとは普通に、本当に純粋に犯罪目的で、金銭目的でやってくるパターン。こういう人たちがランサムウェアは使わずに、普通に不正アクセスをして、不正なプログラムを埋め込んで中に入り込んでデータを盗んで、それを例えば地下で売る形でお金を稼いだりするパターンもありますし、ということなので、攻撃してくる人たちというのは基本的にほぼほぼお金目的というふうに見ていいと思います。

昔からあるランサム業者だと、修理する対価としてお金を受け取るので、結構そのサービスがすごい手厚いみたいな話も聞いたりするんですけど、実際どうなんですか？

今はそんなこともなくて。ただ最初の頃はやっぱりそうでした。彼らも信用の問題なので。例えばランサムウェアを仕掛けて、楽待さんのシステムにランサムウェアを仕掛けて、もう動かなくなっちゃったと、完全に。来るわけですよね、向こうから、ここに連絡してくださいと。連絡すると、いくらいくら払ったらこれを解除するものを送るから、復号キーと言っているんですけど、それを送るからお金を払いなさいと言うんですけど、お金を払ってそれをもらったところで、全部元に戻る保証ってないわけですよ。

結局、歴史が証明したわけですけど、その後何年か見ていると、元通りにならないパターンが多かったりするわけですけど。だから払い損になっていたり、あとは1回払ったけど、もう1回また払えと言われるとか、そういうようなことが起きるということがあって、なかなかうまく回っていないんですけど、ただ初期は、お金を払った時にちゃんと元に戻さないと、ビジネスとして成り立たないわけですよ。だって誰も払わないじゃないですか。だって直さないんだから。

そうですね。

ということなので、最初の頃はちゃんと直せるようにやり取りしながらやってくれたという時は昔はあったんですけど、今はもうそれもなくなっているという感じですから、容赦もないですね。さっき言った通り、当時は例えば教育機関は子どもたちの教育のための場所を、やっぱりそういうふうにするのは良くないとかと、ちょっともっともらしいことを言いながらやっていたんですけど、でも今はもう容赦なく、病院だろうが政府だろうが警察だろうがやっていますよね。

どんどん凶悪化していくというところで、しかも最近は不正アクセスの方がトレンドになってきている。そして得た情報を返す対価にお金をくださいではなくて、もう闇市場に売りさばいているというお話ですよね。具体的にどういった情報がどんな値段で取引されているのか、具体例としてどんなものがあるんでしょうか？

そうですね。やっぱり多いのは、今地下に行ってよくあるのは、それが証明として使えるものなので、多いのはパスポートとか、あとはそれぞれの国が出しているIDですよね。日本で言えばマイナンバーカードとか、運転免許ですよね。こういったものを売っているものは、地下に行けば今もあります。

ダークウェブに行けばそういうのは売っていますし、ただ払ってもそのものが本当に来るかどうかという保証はもちろんないですし、決してアクセスしちゃ駄目なので、見ていらっしゃる方もアクセスしようとも思ってはいけないと思うんですけど、犯罪になりますからね。ただそういうものは実際売られています。

あと最近多いのは、Telegramに行って、いくつかもうそれなりのチャンネルがありますので、データベースを売っているチャンネルに行って、そこで払うと言うんですけど。でも支払い額に関しては、もちろんそのデータの量にもよりますし、データのどれだけが生きているか。例えばメールアドレスとパスワードの組み合わせがどれだけ実際、今使えるか。こういうのも今ばっと事前に分かったりするので、それの有効性みたいなところによって金額も変わったりするので、例えば何十万というところから、下手したら何百万ということもあるでしょう。それはピンキリじゃないかなと思いますけどね。

なるほど。

楽待チャンネルをご覧の映像ディレクターの皆さん、一緒に番組を作りませんか？テレビ局や制作会社出身など、色々なメンバーが働いています。詳しくは概要欄もご覧ください。

上場企業のような大手企業も次々被害に遭っているということで、この動画を見ていらっしゃる投資家の方の目線からすると、実際その仕事、あとは金銭的、信用的な被害ってどれぐらい出るのかというのを結構気になさっている方が多いんじゃないかなと思うんですけども、過去の事例から、これぐらい企業の活動に支障が出るみたいなものってあったりしますか？

そうですね。最近のケースで一番有名なのは、やっぱり先ほどのキリンの話も出ましたけど、アサヒビールですよね。アサヒホールディングスがやられた時、あれはもう本当に工場から出荷できなくなって、結局、自分たちの手でやるぐらいの対応をせざるを得なくなったということで。結局、ふたを開けてみると大体37％ですか、売り上げが年間落ちたということなので、それぐらいの企業への損失を与えるということになりますよね。

プラスそれだけじゃなくて、よく言っているのはレピュテーションダメージと言っていまして、企業の信用問題になってくる。ちゃんとセキュリティができているかどうかということによって、その企業がちゃんとデータを守れているのか、ビジネスを守れているのかということ、それの評価につながっていくところもあるので、それで株価が上がったり下がったり当然しますから。だからサイバー攻撃にしっかり対応できる体制を取っていない企業は、やっぱり厳しいですよね。

やられた時に受ける経済的な損失とダメージ、レピュテーションのダメージは大きいので。これ、デジタル庁の大臣もおっしゃっていますけど、もうちょっとセキュリティ対策というものが経費の中でかなり重要な位置を占めるようになってこないと。僕は本当に留学して帰ってきて、それもサイバーセキュリティインテリジェンスを研究していたんですけど、帰ってきて、それから2017年にですね、『ゼロデイ』の本を出したのが最初ですけど、その時は編集している時にも、まずサイバー空間というものの定義から始めましょう、みたいな、そういうレベルだったんですよ。その本を書いている時ですね。そんな時代だったのが今、もうこんなふうに一気に、10年もかからないうちになっているのをずっと見てきたわけですけど。

やっぱり日本が、先ほどキリンが言っていましたけど、日本が弱いと言っていましたけど、1つあるとすれば、使っている予算はもしかしたら少ないかもしれないです。割合ですよね、配分という意味で。どれぐらいの被害を受けるのかということを考えると、企業がそこをもうちょっと重視していないといけない。総会とかそういうところでも、どれぐらいセキュリティに対してこの企業が対策をしているのかというのが、かなりメインな議題に上がってきて、そこをやっていない企業というものはやっぱりリスクが高いですよということは、皆さんの中で認識として持っておいた方がいいんじゃないかなと思いますよね。

そうですよね。今回タイムズカーさんの事例では、集団訴訟にまで発展してということで、こういうのを未然に避けるために、外側から、投資家の方でも就活するような方でも確認する方法ってあるんでしょうか？

そうですよね。それはやっぱりそういうところで、実際どれぐらいお金をそれに費やしているのか、どういうものに対応、カバーをしているのかとか、そういったものに対して企業の方に聞かなきゃいけないというところもあるでしょうし、これからはおそらく企業側が積極的にそういうのを出していくという必要はあるんじゃないかなと思います。

この間も、アメリカのFBIでずっと長く、サイバーを含めた犯罪の責任者をやっていた方と対談した時にお話ししましたけど、特に企業に関しては、セキュリティ対策をいわゆるプロトコルという形で、何か起きた時にはこういうふうにしましょうと。日本にもだいぶ増えてきているんじゃないかと思います。アメリカで言っているのは、その設定をしても実際起きた時にこの通りにうまく回らないので、日本は得意な、要するに火災の訓練をするじゃないですか。あれと同じように、起きた時のシミュレーションというのは実際にやっておかないと、それが大きな違いになっているというのはアメリカで今言っていますので。

だからそれを日本もちょっとちゃんと導入しながら、それを顧客の方とか、あと株主の方もそうでしょうし、いろんな投資家の方々にPRしていくということが重要で。それをやっておくと抑止にもなるわけですよ。結局、サイバー攻撃って、例えば事務所、フィジカルに事務所があった時に全部鍵を閉めていますよね。例えば仕事が終わった後とかに鍵をしてみんな出ていくんですけど、サイバー犯罪者というのはこの鍵をこじ開けて入っていこうとするわけで、しかもちょっと隙間があったらそこから入ろうとする。針金でも何でもいいですけど、フィジカルで言うとですね、そういうのを入れながら、それが今の場合はプログラムだったりするわけですけど、入れて何とかして開けようとして、こじ開けて入ってくる。その隙があるかどうかというだけのことですから、そこを埋めることを我々はやっていますよと。

全部埋まっていなかったとしても、こんなことを我々はやっていますよと対外的に言うだけで、攻撃する側から見たら、あそこの事務所は鍵がめちゃくちゃかかっているから、ちょっと行くのをやめようかな、みたいなことには当然なってくるわけですよね。だからそういうところを考えないといけないということ。今回の攻撃もそうですけど、ランサムウェアで大体行われるのは、彼ら側はまず世界中にばーっといわゆる調査をするんですよね。セキュリティの穴がある企業を検知するんですよ。そういうソフトウェアがあるんですよね。

そういうので調べるわけですよ。あそこはここの面が外に露出している、ここのシステムの中にあるなと。しかもそれがこういう脆弱性のリポートがあるんだけど、これをカバーしていないなと、パッチを当てていないなと、修復していないなというのも分かるので、そしたらそこを狙ってくるわけですよ。ただ闇雲に全部狙えないんですよ。なぜかというと、いっぱいあるからそれを一気にできないし、それを攻撃するために準備もしなきゃいけないので。

その時、彼らは何をするかというのは、これはランサムウェアの人に直接聞いているから分かるんですけど、それを言うのは、企業の規模を見ると言っているんですよ。今、日本のウェブサイトでも行くと、企業情報を見ると大体資本金とか色々出ていますよね。ああいうのも本当にもう出さなくていいと思うんですよね。彼らはあれを見て、資本金が多いところとか、社員数が多いところとかを見て攻撃対象にしているので、小さいところは狙わないわけですよ。だからその情報さえなければ外国の人は日本の情報が分からないので、そういうのを出さないというのも1つの提案ですし。

ただ今言っているのは、最近増えているのは、不正アクセスが特に増えているのは、今言っていた、時間がかかっている、検知してから攻撃する前の時間というのが、AIを使うとめちゃくちゃ短くできるんですよ。検知すること自体もAIでかなり効率的にできるようになっていて、さらにそれが検知できた後に攻撃に変えるまでの時間というのは短いので、一気にできるということになっているので、これから攻撃はAIで増えるのはもう間違いないなという感じはありますよね。だからそこもやりますよ、やっていますよということを、ちゃんと会社としては対外的に見せていかないと、これから信用問題、なかなかね、大丈夫かな、この企業って思いますよね。

なるほど。サイバー空間においても戸締まり、そしてその堅牢であることのPR、避難訓練が重要であると。

そう、そう。本当にちょっとばかみたいな話なんですけど、これはまさに本当にアメリカでもやっているぐらいのことなので、こういう基本的なところをちょっと忘れないようにして、まずは。そこから先ですよね。今、いろんなソフトがあるんですけど、そういうところから対応していくということが1つ重要かなと思います。

企業サイドの対応や、利用者としてどういうサービスを選ぶかというところ、非常に参考になるお話だったかなと思うんですが。もちろん被害に遭った企業も大変なんですけども、実際に深刻なダメージを受けるのは我々個人も一緒です。古川デジタル大臣も、自分の情報をしっかり自分で守るように対策を呼びかけていらっしゃいますけれども、実際のところ、個人でできることはあるのか、ここはいかがでしょうか？

まず最初に言わせてもらいたいんですけど、デジタル庁の大臣がおっしゃっていますけど、デジタル庁も今年、9月ですよ、発表していますけど、彼らも、この後の対策につながってきますけど、いわゆる脆弱性を、アップデートしなかったんですね、ちゃんと。9月に20万人、24万人の国家公務員のデータが、庁のシステムから流出しているんですよ。9月ですよ。デジタル庁も言っているんですよ。

だから本当は古川さん、まずその話をしてから、我々もやったので、その時に彼らはどう対応をしたのか、どう対策したのか、今こうなっているんですよということをまず自分たちが説明して、それから皆さん個人で頑張りましょうって、ちょっと無責任に感じました、僕、あのメッセージは。個人の方々、自分たちで情報を守ってくださいと。それも当たり前なんですけど、ただ運転免許を提示しなければサービスを使えないのであれば、使いますよね。そこをどう我々が守れるんですか、という話になるわけで。

今言っている、我々が何を、どういう対応をしたらいいんだという話に関しては、これもう被害が出てからの話ですよね。それから二次被害を防ぐのに我々はどうしたらいいんだと今話をしているだけで、一次被害は我々、結構どうすることもできないですよね。

それは先ほどから言っている企業のレピュテーションの問題で、その企業が信用できるかどうかというものがやっぱり大事にこれからなってくると思うので、その辺の部分を大臣はまず言っていただいて。データを扱う側の企業がどれだけ責任を持ってデータを預かっているのか。我々の個人のデータというのは非常に、今、スマホなんかもそうですけど、もう個人データというものがお金に変わっているわけですよね、今、全て。非常に貴重なものなので、そのデータを預かる側の責任をまず考えていただいて、その上で我々がどう対応したらいいかというのは、国がちゃんと教えてくれないと。

自治体も含めてですけど、団体でもいいですし、ちゃんとその辺りの人たちが皆さんやってくれないと。でも誤解のないように言うと、皆さんも何もしていないわけじゃないですよ。もちろん何か対応されていますし、企業も皆さんやっていらっしゃるし、やっていらっしゃるんですけど、それでも隙があるということは、不十分だったと言わざるを得ないわけですから。

個人の話なんですけど、個人ができることと言えば、例えば情報が漏れたというメッセージが来るのであれば、それに関してはパスワードを変えることはやらなきゃいけないですよね。個人の方で、例えば何かサービスを利用しながらビジネスされているとか、個人事業とかでやっていらっしゃる方がいるのであれば、それも全て変えたり、あとアップデートをちゃんとしたりということは個人的にはやっていった方がいいと思います。

だから今、一番怖いのはAIを使っているので、もう出ていると思うんですけど、例えばどこどこの企業の個人情報が不正アクセスされましたと。ここにアクセスしてパスワードを変えてくださいというメッセージがSMSで来る可能性があるんです。これが本当に巧妙に本物みたいに来る可能性があるので、これ本当に皆さん、見ている人に気をつけていただきたいのは、来たものについているURL。これは踏んじゃ駄目です、絶対。

踏まずに、例えば自分に自覚がありますよね、おそらく。今回、サイバー攻撃で情報が漏れた、あの会社のサービスを使っていたなと。そしたら、もしかしたら漏れていたんだったらパスワードを変えてくださいという何かが来るかもしれない。来てから動くんじゃなくて、来てからでもいいんですけど、そのメールから、メッセージからそのサービスに飛ぶのではなくて、自分で、はい、分かりましたということで、そこはもうそれで終わりにして、自分でブラウザーを使うなりアプリを使って、別のちゃんと正規ルートから行って。

そこの中で自分のアカウントに行けば、例えばメッセージがあれば、本当に正しい正規なものがあれば、そこの中にメッセージが入っているかもしれないし。だからそこでパスワードを変えるということをやってほしい。実際、もう今漏れているものを使っていたという人がいるのであれば、そのサービスに行って直接、何かメッセージが来るのを待つんじゃなくて、そこでパスワードを変えたり、登録のアドレスを変えるとかいうふうにしないと、二次被害、三次被害とかにつながっていくと思うので、それは皆さんやってもらった方がいいかなと思います。

楽待チャンネルで御社をPRしませんか？会社を広く知ってもらうというのにはすごく適していると。新卒採用にしても中途採用にしても、楽待さんの動画を見てイメージを持ったまま受けに来るので、ミスマッチが少ないですね。楽待チャンネルで企業PR。

まさにそのAIのサイバーセキュリティを突破する能力が非常に上がっているということに加えて、日本語もすごく上手になりました。ちょっと前まで、詐欺だなというふうに明らかにAIが書いただろうと分かるような、日本語が難しいというのもあって、見たら分かるようなメールが多かったんですけど、最近はそれもなくなっているということで。今のAIの進化がサイバーセキュリティ事情にどう影響しているのか、この最新情報についてもぜひ教えていただけますか？

まずAIが大きく変えたのが、やっぱり今おっしゃった通りですね。言語の壁を越えるようになったということですよね。ロシア系であろうが、中国系であろうが、韓国系であろうが、北朝鮮であろうが、こういう人たちが犯罪的な攻撃をしているというのは、よく報告で上がっているんですけど、国連でも取り沙汰されていますけど。彼らがこれまでやってきたメッセージの中って、やっぱりちょっと不器用な日本語だったりしたわけですけど、あとは漢字の、中国系のプラットフォームで作っているとかが分かるような状況になっていましたけど、今はもうそこは越えてきているので、非常に自然な、非常にもっともらしいメッセージが来る。これができるようになったということですね。

これができるようになったことが1つと、これを大量に、いろんなパターンで、彼ら攻撃者側は人を使わずとも大量に作れる、作成できるようになっているということがあって。それを一気にばらまいて、今エージェントってありますから、AIの。AIのエージェントみたいなのを使ったりしながら、大量にいろんなところにばらまくことができるようになっているということなので。穴があるところを検知するということもAIを使ってできるようになって、いわゆる脆弱性がいろんなシステムにあるのを見つける、さっきもちょっと言いましたけど、それを見つけるのに、AIを使うことによって非常に効率が良く、早くなっている。

隙が見つかった時に攻撃するかどうかという判断もAIで早くできるようになっている。さらにそこから攻撃すると、フィッシングメールを送るとか、何か送りつけるとかという場合も、その前の作業が非常に短くて済むようになったということなので。AIが、これまで何人もの人たちが何週間とかかけてやったものを、ほぼほぼ必要なくなるぐらいのレベルで効率を上げているので、これはどんどんサイバー攻撃が増えていきますし、さらにもっと言うと質が上がってくるので、本当に本物みたいなショートメールから、ちょっと気をつけなきゃいけないという感じにはなっていますよね。

あともう1個あるのは、今AIというと、普通に我々、サーバーに、ChatGPTであれば例えばOpenAIのサーバーにアクセスして、そこで利用していますけど、これはちょっと割高になってきますよね、お金が。なぜかというと、OpenAI側のインフラを使っているからですね。サーバーを借りて使ったり、彼らは彼らで向こうでデータベースがあったり、いわゆる半導体を使ったり電力を使ったりしているので、それを我々がお金を払って利用させてもらっている形になっているんですけど。

今、オープンウェイトモデルというのがあって、企業さんとか皆さんやられているとは思うんですけど、こういうインターネット経由、そういうサーバーなんかを使いながらやると、我々の個人データを入れてしまうと、そのAIのシステム側に入っちゃって、それが逆に漏れるんじゃないかというね。これは皆さんも認識されていると思うんですけど、だからあんまり個人情報は入れられませんよと。

実際、9月頃にClaudeが中国の防犯カメラの映像が入っていたみたいな。ありました。ありました、ありました。そういうことですね。そういうことになるので、今言っているのは、オープンウェイトモデルを使ったら自分たち仕様に変えられるので、要するにもうAIというものはできていると。彼らが作ったものを自分たちのシステムに持ってきて、これを例えばインターネットから切り離して使えば安全じゃないですかと。

ということでオープンウェイトモデルというのがあるんですけど、これ、企業もあるんですが、中国が作っているAIのほとんどはオープンウェイトモデルなんですよね。それは安く済むわけですよ。というのは、さっき言ったデータベースとか電力とか、そういうものは自分たちで賄うので、そこにお金を払わなくていいと。でもそれをダウンロードしてきて安く使える、なんなら無料で使えるみたいなことになるわけですけれども。

これ、閉じちゃうので、実はアメリカのChatGPTとかを使っていると、皆さん、やれないことが結構あると気づいていますよね。例え方を教えてくれたら、絶対教えてくれないです。OpenAIの側でルールを決めて、犯罪に関わるようなこととか、あとは例えば人種差別につながるようなこととか、色々そういうことをやめましょうというガードレールという制限をいっぱい作っているわけですよね。

アカバンされたり、未然に逮捕されたみたいな話もありますよね。

そうです、そうです。そういうので普通にやって、それで秩序を守っているということになっているんですけど、ただこのオープンウェイトモデル、ダウンロードしてきて使うものに関しては、結構これを越えられたりするわけですよね。要するにダウンロードしてきてしまうわけで、それを提供している側もできないので。

これを海外のサイバーセキュリティの専門家の人に話を聞いて、言っていたのは、これを使って、いわゆるウイルス、マルウェアを作るとか、いわゆるセキュリティの穴があるところを検知させるとかいうようなことを指示できるようになっているということなので、ここがAIのこれからの怖い部分で。しかも中国の今のこのオープンウェイトモデルは、どうもアメリカで話題になったAnthropicが作ったMythosというのがありますよね。これは非常に能力の高い、サイバー攻撃に使える、危険すぎて世の中に出せないとなっていますよ。

まさにそういうモデルに匹敵するぐらい近い、もうかなり接近しているレベルのものが、中国のAI企業からも出ている。それがオープンウェイトでも使える。しかもそうなると、さっき言ったルール、これをガードレールと言いますけど、こういうルールを外して使える可能性がある。

実際、もうすでにイギリスでもそうですし、アメリカでも論文なんかでも出ていますし、政府機関のリポートにも出ていますけど、このオープンウェイトモデルを使ってサイバー攻撃というケースが出ているということを考えると、おそらく今回の件も、日本でこれだけ広がっている件も、下手したら同じような形でもうすでに使われている可能性も十分にあると思うんですけど。そういったことでAIが今、サイバー攻撃にかなり、ゲームチェンジャーというかね、サイバー攻撃の形を変えつつあるのかなというふうに思いますね。

相次ぐサイバー攻撃の裏に中国のオープンモデルがあるかもしれないというところですね。そうすると、向こうがAIを使って攻撃してくるなら、こちらもAIを使って防御すればいいんじゃないかと思ったりもするんですけれども、そのサイバー攻撃を守る側の大変さというのは、どういうところにあるんでしょうか？

まさにおっしゃる通りで、というのはもう人間では対応できないわけですよね。このスピード感と、あとはその自律性ですよね。考えると、もう自分たちで何ともコントロールできないということなので、おっしゃる通りで、サイバーセキュリティにおいてもAIを使った対策をしなきゃいけなくて、今、企業が実はそういうふうにAI。

を使えるような対応を始めてますよね。

対策ってこの後、質問があるかもしれないですけど、対策という意味で言うと、例えば自分のシステムがどれだけ外からどう見えているのかみたいなものを、AIで、例えば外部からどう見えてるかっていうのを使いながら見たりとかして、その部分を埋めていく作業をすると。そこからはAIにお願いして、どういう形でこれ、穴埋めればいいんですかと。

そういうのは全部エージェントみたいなものが教えてくれて、企業にこれ、2つのサービスあるんですけど、インシデントが起きる時よりも前にできる、いわゆる脅威インテリジェンスみたいな世界ですよね。サイバーセキュリティのインテリジェンスみたいなことなんですけど、何か攻撃が来る前に、攻撃が来る傾向、キャンペーンとかそういったものが分かるんであれば、それをAIで教えてもらったり、さらに自分とこのシステムがどこに穴が開いてんのか。さっき検知するって言い方しましたけど、検知される前にどこが穴開いてるのか、これアタックサーフェスって言い方してますけど、そういうアタックサーフェスはどこにあるのかっていうのを、自分のシステムですね、検知できる。こういうのもAIを導入しながら質問してどんどん作っていくってことを最近やってる企業も増え始まってるので、AIで対応していかなきゃいけなくなってるっていうところはあるんですよね。やっぱりね。

恐ろしい時代が来てるなというところなんですけど、ちょっとまた個人の対策のお話に戻りまして。

はい。

実際に情報が漏れてしまった場合、メッセージが来たらパスワードを変えないとっていうところはあると思うんですけれども、免許の写真が漏れてしまったと、もっと深刻な情報の可能性もありますよね。こうした場合に、二次被害を避ける方法とか、例えばあと証券会社さんだとどうですかね、10億円の資産を持ってる人の住所が漏れましたとかになったら、トクリュウとかが襲ってくるような可能性も結構世間で取り沙汰されてるんですけど、こういった場合、どのように対策すればいいのか、ちょっと難しいですかね？

これはかなり難しいですね。例えば過去に漏れたものに関しては、特にその画像とか、いわゆる認証のための書類とかそういったものっていうのは、もう1回出ちゃえば、これもう取り返すの難しいですよね。なので、だからこそ大きいんですよね、データを集める側が。

だから極力、別に免許証の写真もですよ。免許証を撮るのはいいですけど、表に、いわゆるネットワークに露出するような場所には絶対置いちゃだめですよね、まず、みたいなこともありますし、中に入られた時にアクセスできるようにして置くこと自体も問題なんで、何ヶ月でも、こういったデータは認証には最初使ってすぐに消してくださいとか。その段階で違う認証に変えればいいわけで、だからそれをもう国として対応してもらうしかなくて、漏れたものはもうこれ回収しようがないと思います。

なるほど。そこを防衛することができない。

できないと。過去のサイバー攻撃見ても、ランサムウェアで先ほどデータいっぱい抜かれたってありますけど、今ダークウェブ行って、色々過去に日本企業がやられたの見ても、いまだにいっぱい残ってますよ。免許証の写真とかそういうのもいまだに落ちてますし、そういうのは絶対アクセスしちゃだめですし、普通にアクセスできないですけど。だからそういうものもあるので、1回落ちちゃうとだめだっていう責任も企業側もやっぱり大きく、これ認識新たにして対応するっていうふうにしなきゃいけない。

ヨーロッパとかは、かなり必要のないデータを保存しないというようなGDPRっていうルールがあって、かなりヨーロッパ厳しいですね。それでもヨーロッパもやられるんですけど、ただ必要のないデータを集めるのやめてほしいなっていうのが1つあって。

僕これ1個よく言ってんですけど、こんなこと、怒るかもしれないですけど、例えば最近レストラン行くと、メッセージアプリとかで登録してからじゃないとオーダーできないとかあるじゃないですか。

ああ、LINEの友達から、みたいなのありますよ。

まさにありますよね。あれってちゃんとそのサービス側の人たちがどういう情報を我々のスマホから吸い上げてて、さらにそれをどういうふうに彼らが管理してんのか、何もない。今、座って、はい、これでオーダーですよっていうのは、これはちょっと非常に危ないと思うんですよね。

だからああいうのも当たり前にはなってますし、海外でもそういうのをやってるところもありますけど、あれもちょっと認識変えてかないと、僕らも、これ本当にここでオーダーするだけですけどいいのかなっていうことを、改めて自分たちに聞かないといけないかなと思うんですよね。データを取りすぎるのも良くないと思うんです。

要するに企業側も含めてですね、レストラン、サービス提供側もそうですけど、あれで多分集めてる情報ってかなり多いと思うんですよ。位置情報もしかしたら入ってるかもしれないし、もしかしたらEメール、当然入ってるかもしれないし、少なくともそのデバイスの、いわゆる機械の認証の番号も入ってくる可能性もありますし。しかも逆に言うと、我々のスマホにもキャッシュって言ってますけど、そういうもの残してくるかもしれないし。

それがどこまでオッケーなのかっていうのを改めて、今もうなあなあになってるじゃないですか。皆さん行ったら、それができないんで、みんなやりますけど、あれもちょっと改めて考えた方がいいと思いますね。サービスがどれだけ情報取るのか、我々どれだけ情報渡すのか。最初に言った通り、データってめちゃくちゃ今本当に重要になってますから。

例えばXとかね、Facebookとか我々みんな使いますけど、あの企業がどうやってお金儲けてるかって、もう9割以上、我々の個人データを広告に使ってるだけなんですよね。

そうですね。

ってことですから、我々のデータがお金に変わってるってことを改めて認識して、我々はどれだけのデータを彼らに渡して、しかもこんだけ漏れるんですよ。信用できますかって話もあるので、ここ改めて僕、議論した方がいいと思うんですね。国としても。

なるほど。法整備、企業倫理、そして個人のリテラシー、全てアップデートしていかないとなかなか間に合わないという状況です。

どんなことでもあれですけど、僕、昔から色々事件の取材もやってますけど、これ本当に言い方良くないんですけど、何かこういう本当に目が覚めるようなことが起きた時に初めて、我々もちょっと改めてもう1回議論しようってことになると思うので、これをただ起きた事件っていうことに、それで終わらせずに、ちゃんとこれ議論するような方向に、できればデジタル庁とかが中心になってやってもらいたいなと思うんですよね。

なるほど。ありがとうございます。ちょっと最後に山田さんご自身のやってらっしゃる対策、言える範囲でお聞かせいただけますか？

言える範囲で、変なメールとか、あとはメッセージアプリ、メッセージ来ますよね。SMSとか来ますけど、こういうものに関してはほぼほぼ無視してますね。完全に。ちょっと前まで皆さんあったと思うんです。これクリックしたらどうだろう、気になるな、これちょっとタップしたいなとかあったと思うんですけど、それはもう本当に忘れてください。本当に必要だったら何らかの形で連絡来るんで、もう絶対にそれ乗らない。

あとは送られてきたものは踏まない。送られてきたものは開けない。これも分かってたものが送られてくるんだったらいいんですけど、いきなり送りつけられてくるものとかだめで、そういうものを、それだけやってるだけでも随分違うと思います。あとは僕たまに知り合いなんかから連絡が来て、動かなくなっちゃったんだけどとかつって、ちょっとどうしたらいいのとかってあるんですけど、大体やってるのは変なところ踏んでますよね。

それはオンラインサービスもそうですし、動画サイトとかもそうですし、そういったところで皆さんクリックして、ビービーってなるんですけど、そこに出てくるほど深刻では実はなかったりするので、改めてちょっと冷静になって、リスタートしてみるとか。その段階でそういうことがあるサイトであればもう行かないとか。その辺は、それもう個人の、本当に最低限のリテラシーですけど、ちょっとそれで感覚を変えるだけで違うと思います。

便利なものってやっぱり便利になればなるほど、やっぱりそのリスクが高くなってくるっていうのはあるので、ちょっと一手間かけるだけでも違うと思います。確かにメールが来たもの、そのまま押しちゃえば行っちゃって楽なんですけど、そうじゃなくて、本当にそれがあるのかってことであれば、そのサイト、当然関係あるから来てるわけですから、そのサイトに自分からブラウザーから自分で行って、自分のアカウントに入ってみたら分かりますよね。本当に必要なことがあるのかどうか。だからそういうふうに、Amazonとかね、買い物のサイトもそうですけど、そういうちょっと習慣をつけるっていうのは1つ大事かなと思いますけどね。

不審なリンクを踏まない。もう基本的なことですけども、まずはここから意識していけばというところですよね。

そうですよ。もう来るのは間違いないので、かなり来てるのは間違いなくて来てるので、その辺はちゃんと認識しましょう。あと変なサイトにはなるべく行かないっていうことですよね。

分かりました。ありがとうございます。

ここまで不正アクセス、サイバー攻撃事件の現状と、それから個人ができる対策について、国際ジャーナリスト山田敏弘さんにお話を伺ってまいりました。ぜひ恐れすぎず、この週末にでもセキュリティ対策を見直していただけたらと思います。山田さん、本日はありがとうございました。

ありがとうございました。

楽待チャンネルIRニュースコーナー。

さあ、このコーナーでは楽待チャンネルを運営する楽待株式会社の投資家、株主の皆様向けの情報を1分でお伝えします。今回は東証スタンダード市場に上場する楽待株式会社の2026年7月期通期の決算発表についてお知らせします。

売上は36億1700万円で前期比14.5％増。営業利益は18億9900万円で23％増となり、通期の業績予想を売上、利益ともに上回りました。営業利益率は52.5％と高い水準を保ちながら、売上はこの5年で2倍になっています。27年7月期は売上40億円と5期連続の2桁成長を見込み、年間配当は13円から16円へを予定しています。詳しくは概要欄、コメント欄のIR情報のリンクからご覧ください。

楽待、楽待、楽待。

不動産投資は楽待。

Ja.