AIが攻撃を「割に合う」ものにした:個人情報流出が相次ぐ理由と、企業・個人がとれる対策

皆さん、こんにちは。PIVOTの小手森です。なぜ個人情報の流出が相次いでいるのか。今日はサイバーセキュリティに詳しい米内貴志さんにお話を伺っていきます。よろしくお願いします。

よろしくお願いします。

米内さん、もう今月、特に大手企業とかに不正アクセスで個人情報流出が相次いでて、もうこれニュースで見ない日はないなっていう感じですね。

ないですね。毎日2、3件ぐらいは。そうです。ありますよね。

でも今月入ってから、もう証券、飲食店、あと大学なんかもあって、もう本当、人ごとじゃないなって感じで。一応ちょっとスルーできないんで触れときます。所属先のGMOインターネットグループの、グループ内でも別の会社ですけど、米内さんとは、インシデントがありましてですね。今日聞きたいのは、その個別の社のインシデントの原因っていうよりかは、なんでこれだけ相次いでいるのかっていう、その構造的な背景なんですけど、一言で言うとここ何になりますか？

まずは一番大きく、AIの登場だと思いますね。やっぱり何よりもAIが出てきて、人間だと今までそんなにちょっと手をかけて攻撃するまでもなかった対象、ここにガーッと行けるようになったと。結果として、僕らの中でバグノミックスなんて言ったりするんですが、攻撃者が攻撃をして得になる対象が増えたわけですね。その結果としてなのかなとは見ております。

はい。なので、このAIの進化で、こういう不正なAIの利用が増えるみたいなのって、しばらく言われてたじゃないですか。特になんかここ最近、潮目変わった感じなんですか？

そうですね。もう見えるニュースの件数がすごくなりましたよね。なので潮目の変化は感じつつ、今どの専門家も、じゃあこれが本当にAIなのかとかまでは断定できてない状態だと思うんですよね。なので僕らも今、すごく分からないの渦中にいるっていうのが正直なところですね。

そうですよね。これって本当に特にこの1か月か2週間ぐらい、急に増えてる感じしますけど、こういう状況ってしばらく続いていくんですかね。

そうだと思いますね。何よりも、結構いろんなレガシーシステムって世の中にあると思うんですよね。もう全部が全部、とてつもなくお金を使いながら開発を続けているものじゃないと。そうなった時に、やっぱりそこって必ず狙われると思うんですよ。

レガシーシステムって何ですか？

ちょっと古いシステムですね。それこそ10年前からずっと動いてて、でも誰もどうやってメンテナンスするか分かりませんみたいなの、会社様にもあられると思うんですけど、そういうシステムですね。レガシーシステム。

じゃあ結構狙われてるのは、そういうちょっと、いわゆるレガシーって言われるシステムになるんですか？

そうですね。そういったところも含まれ、プラス新しいものもやられてるんで、言ってしまえばもう何でもではあるんですけれども、特にレガシーシステムはパッチが当たってなかったりとか、結果として脆弱性、弱いところが残ってたりするので、狙われやすくもなっているって感じですね。

なるほど。もうこれだけの頻度で、こういうインシデントが起きてしまうような状況って、なかなか明言するの難しいと思いますけど、この先どれぐらい続くと思います？

1年から2年ぐらいは続きうるんじゃないかなと思ってます。

それなんでですか？

やっぱりソフトウェアの、レガシーシステムとさっき申し上げたものって、更新するとか変更する、別の新しいシステムに置き換えるのに時間がかかると思うんですよ。特に会社様が持ってるシステムって、1年とか2年かけて、じゃあ予算組んでやろうかみたいな、そういうスピード感じゃないですか。なので急に明日なくなることはなくて、そのシステムがどんどん入れ替わっていって、ようやくうまくいくかなぐらいな感じだと思うんですね。法人のサイクルが大体1、2年なので、その意味で1年は続くだろうという感じで見てますね。

なるほど。これ、AIによって脆弱な部分を見つけやすくなったっていうことですよね、今起きてるって。そしたらやっぱり、ある程度レガシーなものを更新して強固にしていったら、こういうのが減っていくことになるわけですか？

と思います。さすがに脆弱性、弱いところって、ないと攻撃できないんですね、攻撃者からしても。なのでそれがなくなれば、こういうインシデントはなくなると。どれぐらいのペースでそれが減っていくかが問題なんですが、それがおよそ1、2年はかかるんじゃないかっていう話ですね。

なるほど。じゃあちょうど、攻撃を受ける側とする側の追いかけっこが追いついちゃってる、この過渡期みたいな。

そうですね。今だと攻撃者が圧倒的に優位であると。なので今ここから、やばいぞとなって動いていく組織がもう世の中の大半になれば、攻撃者がどんどん有利ではなくなっていくので、その状態に持っていけるかですよね。

それはじゃあ、やっぱり打つ手は一応あるにはあるってことですか。

と思いますね。それこそ、ちゃんと鍵がかかってる場所ばっかりだったら、そんなに盗まれるものもないと思うんですよ。今、言ってしまったら、すごく古い、もう鍵がボロボロのドアしかないみたいな状態で、それがどんどんいろんな投資でなくなっていけばいいってことですよね。

なるほど。企業とか、被害を受ける側の人たちが取る対策として、私みたいな、もう完全にそういうエンジニアとかの知識がない素人にも分かるように、具体的に教えていただけます？

そうですね。それこそ法人のシステムだと、まず何よりはしっかり脆弱性を探す、自分たちであらかじめ探しておくってことをしなくちゃいけないですね。例えばですけど、システムを持ってます。他から納入されてるシステムとか、オープンソースの、世の中で無料で使えるようなものとかだったら、バージョン情報もあって、バージョンが分かったら、ここに脆弱性が報告されてるか、公開されてるかっていうのは分かるわけですね。調べたら。

そうです。AIでも調べられますし、「ほにゃらら 脆弱性」とか、それでも調べても出てきますけれども、そういうので調べて、少しでも怪しいものがあったら、セキュリティパッチ、更新が出てますよって言ったら、とりあえずアップデートしておくと。それだけでも対策は十分進むと思います。

その上で、法人で自分たちで作ってるシステムもあると思うんですが、そういったものは正直、今それこそAIを使うか、専門企業に頼んで、じゃあこのシステムに穴ないですかと頼んでいただくと、結構そこで洗い出せますので、それを順当に1個ずつ潰していこうかっていうのをやっていく必要があるという感じですね。

難しいのは、正直今あちこちのシステムに脆弱性はもう本当にあるんですよ。直そうと思うと、どうしてもお金がかかるんですね。システムの更新って言っても、止めずにやらなきゃってやったら面倒くさそうじゃないですか。コードを書き換えて直しなさいって言って、書くのは外注ベンダーさんがやってらしたりとかもして、面倒くさかったりすると。そこに、本当に申し訳ないんですが、経営者の皆様とかがしっかりお金を使うか、今もうこれだけインシデントが起こってるしねとなれるかどうかも、かかってる話であるっていうのが難しいポイントですね。

その外注ベンダーっていう話もありましたけど、素人ながらに聞いたことがあるのは、結構日本はそういうシステムとかを外部の企業に委託してっていう形が多いみたいなことを聞いたことがあって、そういう日本ならではの構造みたいなのも関係してたりするんですかね？

そうですね。それこそ僕、すごくそこに課題意識を持ってまして、例えば今、米国とかでこういうサイバーセキュリティ系、すごいAIがやばいぞと、どうするってなった時に、彼らの対応がすごく早かった理由は、中でソフトウェアを作ってたからだったんですね。結局セキュリティをAIで見させる、穴が出てきた、弱点が出てきたらどうするっていうと、直すしかないと。

この直すっていうのは、やっぱり本質的にソフトウェアを作ることとほとんどイコールなので、結果、ソフトウェアを中で作ってるチームがあるというところは、本当にすぐ改善が済んだんですね。今おっしゃっていただいたとおりで、日本だとソフトウェアっていうと外の企業に頼んで、SIer様とかに頼んで、ちょっと作ってねと、購入するよっていう関係が結構よく聞くじゃないですか。なので自分たちで直そうと思っても直せないんですね。

直そうと思って、じゃあすると、それが数百万、数千万の単位になってしまうと。ここはやっぱり構造的に、今、日本企業がセキュリティをやるぞとなっても難しい一つの理由なのかなとは感じてます。ここ、本当に僕も事業者として難しさを感じてるポイントですね。

へえ。アメリカ、結構この辺は対策は。

そうですね。ガッと。それこそアメリカのいわゆるエンタープライズ企業、ネットワークを作ってるところとか、SaaSサービスを提供してるところなんかは、結構中でチームを持ってるのがほとんどなんですよね。それがやっぱりビジネスのスピードが上がると競争力が上がるっていう構想があったかなと。

一方、日本とかだとSaaS企業は結構、内製のチームを持ったりされますけれども、あんまり広くはないですよね。金融、例えば見た時に、中で開発部門を持ってるところは少なかったり、システム子会社みたいなところがあって、そこでやってたりとか、やっぱりなかなか根強く残ってるので、ここにはちょっと大きな構造上の差があるなとは見えますよね。

なるほど。そういう構造上の難しさがあるにせよ、技術的にはこういうのの発生頻度を減らすっていうことは、対策すればできるはできるってこと。

そうですね。技術的には、例えばもうバジェットが無限にあって、脆弱性、弱いところが見つかったらすぐお金を払って直せるという感じであれば、テクニカルには今、脆弱性を探すのも直すのも比較的AIでやりやすくなってるので、ガッと技術的にはできると思います。なので本当に投資判断というか、そういったところがうまく回るかですね、今のところの焦点は。

さっきおっしゃった、この先1年とか続くかなっていうのは、やっぱりテクニカルにはできるんだけれども、日本の特殊な背景っていうところもあって、大体それぐらいかかるかな。

そうですね。それこそシステム部門の皆様とかが、じゃあここから脆弱性やばいぞと、直さなきゃって。今ちょうど収録、10月ですか、やってるタイミングだと、じゃあ翌期の予算とかですね。これを盛り込もうとできるかが、まず例えばこの1年で変わるかの肝って感じになるんじゃないかなと思いますね。

なるほど。でもちょっと、これだけ相次いでると、積極的に考えるところも多そうではあります。

そうですよね。昔だとセキュリティ投資とかって、ちょっと保険に近いというか、事故は起こってないけれども、なんかあったらやばいからやっとこうだったんですけど、今って実害がすごく出てるじゃないですか。例えば今月、こうなってくると、今急にでもやらないと、その分事故と、やっぱり損失も大きく出るので、今やっておきましょうとはしやすくなったタイミングかなとも思いますね。なのでちょっと予算にこだわりすぎず、今始められることを僕としてはお勧めしたいというようなシチュエーションではございます。

なるほど。今回、AIというものに対して世の中が向ける目っていうのが、いろんな事案が相次ぐ中で、ちょっと慎重になるみたいな、そういう可能性ってあるんですかね。

そんなにないと思いますね。というのも、もうここまで来ると、サイバーセキュリティでもAIを使わないってありえないんですよね。なぜかというと、もう攻撃をする側が使ってそうであると。そのスピード感でやるには、やっぱり僕らも使わざるを得ないからなんですね。なのでサイバーセキュリティ一個取っても、じゃあみんなで自粛しようとはなれない。結果として、ここはもうペーストリコでもそうなんですよ。

例えば、セキュリティをお助けするということをやってますけど、もうこの波以外にありえないと思うぐらい、僕ら自身もすごく効率化してるんですね、今。その意味でも絶対このトレンドは上り調子で続くだろうというふうには見てます。

AIに対する期待とか、開発のスピードとかに対するブレーキにはならないだろうってことですかね。

そうですね。それこそもうサイバーセキュリティって、基本、攻撃者側が常に優位なんですよね。なんでかっていうと、彼らにはルールがないからなんですよ。それこそ、みんなで規制しようって言っても、もう既にオープンウェイトモデルは世の中に転がって、それを、じゃあ無検閲版、その悪いこともできるバージョンにしようみたいな動きもたくさん起こってるわけですね。これはもう出ちゃってる以上は止められないと。彼らはもうそれを手元に持ってますし、それを使うということは、いくらみんなで自粛しようとしても、もう無理ですよね。

なので、このルールを破る側がいる限りは、このゲームって基本的には止めようがないんですよね。なので基本は、みんなでAIを使ってでも守りましょうと。自粛なんてしてる場合じゃないので、守りましょうということになります。

ちょうど今日、アンスロピックさんが、CVP、サイバーに関するモデルをどこの事業者に提供するかっていうプログラムがあるんですけれども、本当にやばい人に強いモデルを一つ渡すとやばいので、制限してたんですが、それを少しずつ拡大するような動きを発表されてまして。その意味では、そういう公式側もっていうんですかね、モデルプロバイダー側もこの動きをずっと続けて、サイバー用のセキュリティモデルも提供するぞのほうには倒していくんじゃないかなとは思われますね。

なるほど。ちょうどアンスロピックも動きがあったということで。なるほど。ここまで企業レベルの対策の話を聞いてきたんですけども、これもう個人としても結構、人ごとじゃないじゃないですか。もう私も友達とかで、まさに被害に遭っちゃったみたいな人もいるんですけど、これ個人だとどういう対策できるんですか？

もう一番は、個人情報とか、いわゆる今漏れてるようなデータですね。これをどこにも渡さないということが、正直できる対策だと思います。もう一回データって預けちゃうと、そこから先、その企業がうまく管理してるかって監督しようがないと思うんですよね。

例えば外から、Pマークを取ってますかとか、いくつかいろいろセキュリティの認証ってあるじゃないですか。取ってますかとか見て、じゃあアプリ使うかっていうと、使わないと。なので基本、じゃあここに入力すべきかなと。それこそ飲食店に行かれる時に、そのためだけに、ご飯を食べるためだけにこれはいるのかと、ちょっと逡巡いただくことっていうのが、一番最初に取れる自衛だと思います。その上で、もう渡しちゃってるデータとかに関しては、もう対策しようがないので。

全然私も登録してますもんね。

僕もそうなんですよ。結構いろんなお店で登録してまして、こんなに事故るんだったらなとか、やっぱり改めて僕も思うわけですけど、もうこうなると仕方ないのでって感じですね。まずはちょっと、データをどこに渡すかっていうのを考えていただくことかなとは思います。

でもある意味、もう最低限入力してるものは、もう流出してると思ったほうがいいじゃん。

そうですね。なんかそれぐらいには、今のこのご時世だと感じちゃいますよね。幸い、結構今のニュースって、いわゆる個人情報系のデータの漏洩がメインで、例えばWebのストレージに上げてるデータがガツッと漏れましたとか、そこまでじゃないわけですね。

ここは今、幸いなところなんですけれども、個人情報以外も今後漏れうることは想定すべきなので、その意味ではいろんなサービスとかありますけれども、極力使わないで、あるいは本当に使うべきならば、もうある程度漏れるかもしれないという前提で運用されるというのが、取れる一番の自衛だというふうに思います。

こういったサイバー関係のことがありましたら、お聞きできたらと思います。ありがとうございます。

はい、ありがとうございます。

ここで皆さんにお知らせです。視聴者の皆さんによるPIVOTコンテンツの人気投票、PIVOT VOTEを現在受け付けております。投票者の中から抽選で100名の方々にAmazonギフト券3,000円分をプレゼントいたします。ぜひ奮ってご応募いただければと思います。

お