ただし、この攻撃自体は26年春頃に行われたものであり、9月以降の急増を示す事例ではない。それでも、AIがサイバー攻撃を行う際に、それを支援可能であることを示す補足的な資料と言うことはできるだろう。
今後は侵入された後の対応にも備えが必要に
独立行政法人情報処理推進機構（IPA）は、9月8日に公開した記事中で、「侵入型ランサムウェア攻撃」の被害が多発しており、企業の重要データの暗号化と、持ち出した情報を盾にした「二重の脅迫」が行われる可能性を指摘している。
また、JPCERT/CCは、10月9日に公開した文書で、一般向けのサービスやアプリからだけでなく、ビジネスインテリジェンス（BI）ツールや従業員管理システムなどを経由した情報流出が起きていることを指摘し、管理APIの認証・権限設定の不備だけでなく、他システムから盗まれたAPIキーが悪用されることにも警戒が必要だと述べている。
また、AIによって自然な日本語文章が生成可能になったことで、標的とする企業を狙ったフィッシングなどの偽メールも、これまでよりさらに巧妙化するだろう。AIを使った脆弱性の探索も高度化し、攻撃者側は天才的なハッキングスキルを持つ者に頼る必要がなくなっていくと考えられる。
なお、漏洩した個人情報や機密情報が、その後どのように悪用されるかについては、個々の事案ごとに確認する必要がある。情報漏洩が判明した時点では、2次被害が確認されていない場合でも、盗まれた情報が後日、フィッシング詐欺や不正ログインなどに悪用される可能性はある。
氏名、住所、メールアドレスなどが漏洩した場合には、本人になりすましたフィッシング詐欺や、他のサービスへの不正ログインなどにつながる恐れがある。漏洩した情報の種類によっては、金融サービスの不正利用などにも注意が必要だ。
日本国内の企業は、今後さらに大規模な情報漏洩が発生する前に、インターネットに接続されたシステムのセキュリティ体制を洗い直すことが求められる。
そして、不正アクセスを許してしまった場合には速やかにそれを検知できる体制を整え、アクセス履歴情報（ログ）を保全したり、ネットワークから分離したバックアップの保管と定期的な復旧テストの実施などにより、万が一の際には実際に復旧できるよう備えておくことも必要になる。システムの運用やセキュリティを外部に委託している場合は、インシデント発生時の連絡手順やログの提供、復旧責任、再委託先の管理状況まで契約・運用面を確認しておくべきだろう。
また、顧客が利用するウェブサービスだけでなく、管理者アカウントやVPN、クラウドサービス、外部委託先の管理用アカウントなどについても、多要素認証の導入やアクセス権限の見直しを進めることが重要だ。
今後は「侵入されない」ことよりも、「侵入されたとしても、個人情報などの機密が大量に流出したり、サービスや業務が長期間停止させられるような事態に発展させない」仕組みを構築することが、企業や組織にとって必要事項となっていくのかもしれない。
※ログイン後、コメント入力が可能です。