昨今のAIの攻撃による情報漏洩に関して思うこと

こんにちは。株式会社Esolab 代表の大西です。

久しぶりの社長ブログです。今回はマネジメントや起業の話ではなく、最近ずっと頭から離れないテーマについて書こうと思います。

この秋、ほぼ毎日のように「個人情報漏えいのお知らせ」を目にしませんか？
佐川急便さんの最大約5,323万件、焼肉きんぐさんのアプリ会員約1,078万件、IDCFクラウドのランサムウェア被害と、そこから広がった各社への影響。ニュースを見るたびに、正直、胃が痛くなります。

そしてセットで語られるのが「AIを使った攻撃が増えている」という話です。

WEB制作会社として、毎日AIを使ってものを作っている立場から、思っていることを書いてみます。

「AIのせい」で片付けたくない

まず最初に言っておきたいのは、今回の漏えいを「AIのせい」で片付けるのは違うということです。

公表されている事案を見ていくと、入口はだいたい昔から言われてきた場所です。更新されていないソフトウェア、設定の不備、使い回されたパスワード、委託先やクラウド。個別の事案で「攻撃にAIが使われた」と公式に確認されたものは、私が見ている範囲ではまだほとんどありません。

じゃあAIは関係ないのか、というと、そうでもない。
私の感覚では、AIは攻撃の「中身」よりも「スピード」と「数」と「敷居」を変えたんだと思っています。

AIで変わった3つのこと

1つ目は、敷居が下がったこと。
以前なら専門知識が必要だった作業を、AIに手伝わせればできてしまう。警察庁などからも、生成AIで攻撃のハードルが下がっているという見方が出ています。「腕のいい攻撃者」だけを警戒していればいい時代ではなくなりました。

2つ目は、日本語の壁がなくなったこと。
少し前まで、怪しいメールは日本語が不自然で見分けがつきました。今は違います。取引先からの連絡と見分けがつかない、ていねいで自然な日本語のメールが届きます。「変な日本語なら詐欺」という見分け方は、もう通用しないと思った方がいいです。

3つ目は、スピードが上がったこと。
10月にPHPの重大な脆弱性が公表されたときも、公開直後から攻撃が観測されました（当社の解説記事）。脆弱性が見つかってから攻撃されるまでの時間は、どんどん短くなっています。「来月まとめて更新しよう」が通用しなくなってきている。これが一番怖いところです。

作り手として、正直に思うこと

ここからは少し自分たちの話です。

私たちも毎日AIを使っています。このホームページも、実はAIエージェントと一緒に作り直しました。コーディングのスピードは本当に上がりましたし、もう手放せません。

ただ、だからこそ思うんです。
AIで「作る」のが速くなった分、「守る」を設計しないと、穴の空いたものが今までの何倍ものスピードで世の中に出ていく、と。

今は、誰でもAIでサイトやアプリを作って公開できます。それ自体はすごくいいことです。でも、その中には「動く」けれど「守られていない」ものも確実に混ざっています。問い合わせフォームのスパム対策がない、管理画面がパスワードだけ、更新する人がいない。攻撃する側もAIを使って、そういうサイトを片っ端から探しています。

制作会社の仕事は「作って納品したら終わり」ではなくなりました。作ったものが何年も安全に動き続けるところまでが、作り手の責任だと思っています。

中小企業こそ狙われる

もう一つ伝えたいのは、「うちは小さい会社だから狙われない」は間違いだということです。

最近の事例を見ると、被害は大企業の本体ではなく、委託先やクラウド、会員システムといった周辺から広がっています。つまり、私たち中小企業は「誰かの委託先」として狙われる立場でもあるんです。自分の会社のサイトが踏み台になって、お客様や取引先に迷惑をかける。これが一番避けたいシナリオです。

AIで攻撃が自動化されれば、相手は会社の規模なんて見ていません。見ているのは「入れるかどうか」だけです。

じゃあ、何から始めるか

怖い話ばかり書きましたが、やるべきことは意外とシンプルです。当社がお客様のサイトをお預かりするときは、まず次の4つを決めています。

1. 更新は、誰が、いつやるか（WordPress・プラグイン・PHPなど。「そのうち」はなし）
2. 管理画面のログインは二段階認証にする（パスワードの使い回しもやめる）
3. バックアップは別の場所に置き、復元できることを確かめる
4. 何かあったときに、誰に連絡するか

派手な対策ではありません。でも、攻撃の入口が昔と変わっていない以上、この基本ができているかどうかで結果は大きく変わります。AIで攻撃が速くなったなら、守る側は「基本を止めない仕組み」で対抗するしかないと思っています。

それと、守る側もAIを使えばいいんです。
当社では先日、URLを入れるだけでホームページの守りの状態をA〜Eで判定できるWebサイト セキュリティ簡易診断を無料で公開しました。詳しいレポートはAIが作ります。攻撃する側がAIで穴を探すなら、こちらもAIで先に見つけて塞ぐ。そういう使い方をもっと広げていきたいと考えています。

最後に

AIは道具です。包丁と同じで、料理にも使えるし、人を傷つけることにも使える。道具そのものを怖がっても仕方がないので、私たちは「作る」にも「守る」にもAIを使いながら、最後は人が責任を持つ、というやり方を続けていきます。

「うちのサイト、大丈夫かな？」と少しでも思った方は、まずは簡易診断を試してみてください。結果を見て不安になったら、遠慮なくご相談ください。古いサイトの更新や移行、保守の見直しまで、一緒に考えます。

それではまた！

最後に宣伝
弊社では、WEB制作・システム開発・動画制作に加えて、既存サイトの保守やセキュリティの見直しも行っています。お問い合わせからお気軽にご相談ください〜！