急増する企業の「情報漏洩」　サイバー犯罪の専門家に聞く“身を守る術”とは

　昨今、大企業や公的機関を標的とした大規模な情報漏洩事件が相次ぎ、私たちの生活を脅かす深刻な社会問題として増加の一途を辿っている。その背景には、目覚ましいスピードで進化を遂げるAI技術の存在があり、サイバー攻撃の手法がかつてないほど高度化・複雑化していることが強く懸念されている。日常的にデジタルサービスを利用する私たちは、この見えない脅威に対してどのように立ち向かえばいいのだろうか。本稿では、元愛知県警警察官（特別捜査官）サイバー犯罪や企業犯罪に詳しい専門家・小野木浩志氏に話を伺い、現在の脅威の実態と私たちが今すぐ講じるべき対応策について紐解いていく。

■ 大企業を狙うサイバー攻撃、その根本原因は？

　ここ数ヶ月という短期間で大企業の情報漏洩事件が急激に増加している根本的な原因について、小野木氏はオープンソースのプログラム言語である「PHP」の脆弱性を突いた大規模なサイバー攻撃が背景にあると指摘する。「PHPはコンパイル（変換処理）が不要で、初心者でも比較的馴染みやすい言語として、長年にわたりインターネット上のWebサイト構築において広く使われてきました」と小野木氏は語る。

　しかし、この「広く普及している」という事実こそが、現在の問題がより深刻化している原因となっている。企業システムや組織全体に最新の修正プログラムを浸透させることは、システム稼働への影響や膨大な工数の観点から大変難しく、そこに付け入る隙が生まれているという。事実、今回の攻撃は日本国内にとどまらず海外でも一斉に引き起こされており、盗み出した個人情報を担保にして企業に身代金（ランサム）を要求する悪質な手口も見られるなど、現代の企業が抱えるリスク管理の課題が今回の「PHP騒動」によって浮き彫りとなった形だ。

■ AIの進化がもたらす脅威と人の責任

　現在のサイバーセキュリティを取り巻く状況として、昨今のサイバー攻撃においては、「GLM-5.3」や「Mythos級AI」といった高性能なオープンモデルの悪用も懸念されている。現に最近日本国内で多発しているサイバー攻撃の攻撃元として、高度な自動化ツールである中国製AI『ARTEX』が悪用されているという報道も出ている。（※）　

　こうした懸念や報道を踏まえ、小野木氏は「AIの進化により、短時間で極めて効率的にシステムの脆弱性を見つけることが可能になったと推測できます。人が手作業で試すよりも、AIに任せておけば、短時間で勝手にシステムの穴を見つけてくれるわけです」と、攻撃側におけるAIの脅威を解説する。

　同時に、小野木氏は「それらをAIに行わせているのは、あくまで『人』であることを決して忘れてはいけません」と強調する。システムの防御から脆弱性診断まで、すべてを盲目的にAIに任せる社会は多角的な面でリスクを孕んでいるといえる。適切なガイドラインに則り、社会全体がAIのメリットとデメリットを正しく認識し、使い方次第で重大なリスクが生じることを理解して使用することが不可欠なのだ。

■ 流出した個人情報が招く二次被害の恐怖

　もし私たちの個人情報（IDやパスワード、生年月日など）が流出してしまった場合、具体的にどのような二次被害が考えられるのだろうか。

　小野木氏によれば、証券口座にアクセスされて資産が失われてしまうような直接的な財産被害のほかにも、「流出した情報をもとに他人になりすまして新たな銀行口座やクレジットカードが不正に作られたり、知らない間に無断で有料会員サービスに登録されるといった事態が考えられます」と指摘する。

　さらに、これらの個人情報を基にして、ターゲットを絞り込んだ巧妙なニセ電話（特殊詐欺）や、極めて本物に近いニセメール（フィッシング）に発展する可能性も高いという。最も恐ろしいのは、被害にかなり後になってから気づくケースだ。「そのため、金融関係等の取引明細については今までよりも早く、そして細かく定期的に確認する方が良いでしょう」と小野木氏は語っている。

　また、今回のようなことが起きると便乗してフィッシングメールなどが出回る恐れもあるだろう。「メール一つをとってもその内容、発信元メール、内容などをしっかり確かめて、心当たりのないものについては、安易に信用せず、まわりの方や記載されている会社へ真偽を確認してから行動するようにすべきです。特にURL付きのメール、ID、パスワードを要求してくるものには要注意です」と小野木氏は警鐘を鳴らしている。

■ 私たちが今すぐできる具体的な自衛策

　日々高度化・巧妙化するサイバー脅威に対し、私たち個人はどのように身を守るべきなのか。小野木氏は「現代において、自分の個人情報はすでにほとんど何らかの形で流出しているものと考えたほうが良い」と、前提となる意識の改革を促す。そのうえで、被害を最小限に食い止めるための具体的な対策として、以下の行動を推奨している。

• パスワードの多要素認証（MFA：ワンタイムパスワードなど）の積極的な活用
• パスワードの最低1ヶ月ごとの変更（および使い回しの防止）
• 重要な個人情報をパソコンやスマートフォンの本体内に安易に記録・保存しない
• パソコンやスマートフォンのOS、およびアプリケーションを常に最新バージョンへとアップデートする
• スマートフォンにおいても信頼できるセキュリティソフトを導入する

　また、意外な盲点として小野木氏があげたのが「パソコンは使い終わったらこまめに電源をOFFにする、ルーターのファームウェアも最新の状態を保つ、アカウントを初期設定のまま利用しない」という点だ。その理由は、悪意あるハッカーたちが自身の身分や発信元を隠すために、セキュリティの甘い個人のネットワーク機器を中継点（踏み台）として悪用し、企業などへ攻撃を仕掛けるからだという。

　特にWi-Fiルーターの初期設定パスワードがシンプルで推測されやすいものの場合は、不正アクセスや通信の傍受、フィッシングサイトへの誘導などの深刻なセキュリティリスクが高まるため変更する必要があるそうだ。自分自身が加害者の手助けをしてしまわないための対策も重要となってくる。

■ 企業と個人のセキュリティ意識の抜本的見直しを

　今回の一連の事態を受け、企業にとっても情報セキュリティの在り方が大きく問われている。小野木氏が語るように、セキュリティ対策は直接的な営業利益を生むものではないかもしれないが、今や単なるコストではなく「会社を守るための重要な投資」と捉え、内部・外部による情報システム監査を重視する必要性が極めて高まっている。報道によれば、パスワードを復元不可能な暗号化をせずにそのまま文字列として記録していた事例もあるとされ、抜本的なシステム構築や認証方法の見直しは急務である。

　そして私たち個人も、情報漏洩事件に便乗した巧妙なフィッシングメールなどを安易に信用せず、記載されているURLや発信元をしっかり確かめ、周囲や関係機関に真偽を確認してから行動するITリテラシーが求められる。AI技術はあくまで人の指示で動くツールであることを忘れず、強固なコンプライアンス意識を固めたうえで正しく運用することこそが、安全でより便利なデジタル社会を築くための最大の鍵となるだろう。

※：https://realsound.jp/tech/2026/10/post-2558767.html