情報漏洩の直後、怪しい電話が立て続けに
不安のるつぼと化した巷では目下、疑心暗鬼が募るばかり――。そうした様相をもたらすきっかけとなったのは、カーシェアリングサービス「タイムズカー」の会員情報流出だった。
運営元による9月25日の発表では、外部からの不正アクセスにより、会員の氏名や住所からメールアドレス、免許情報など本人確認書類に至るまで漏洩した可能性があるとされていた。その後、漏洩したアカウント数は約660万件、免許証の画像など本人確認書類に関しては約160万件にものぼることが判明した。
実際に、自身の情報が漏れてしまった都内の40代男性会社員が言うには、
「私にはお詫びのメールは届きませんでしたが、心配だったのでタイムズカーに電話をして確認したところ、自分の個人情報も流出しているとの回答がありました。ただし、問題になっている免許証の情報まで含まれているかは分からないとのこと。先方は『確認して後日回答いたします』と言ったのですが、そこで止まっている状態です」
そう明かしながら、
「その後、どのような対応を取るのか、あるいは補償をどうするのかといった話は現在までありません。会員登録の際にはクレジットカードの情報も必要だったのですが、こちらはセキュリティコードもあって流出は免れたようです。ただ電話番号やアドレスは漏れた可能性がある。今後、不審な電話が増えないか心配しています」（同）
タイムズカーの事案の発覚以降も、他企業の被害が次々判明した。たとえば焼肉チェーン「焼肉きんぐ」を運営する物語コーポレーションは、アプリの会員管理システムに不正アクセスされ、約1078万件の情報が流出したと10月5日にリリース。またローソンは8日、アカウントサービスからおよそ215万件の個人情報が漏洩したと発表した。さらに9日、今度はJR東日本が、「えきねっと」「大人の休日倶楽部」や「ビューカード」の会員情報など約609万件が流出した可能性があると明かしたのだった。
「会員登録している『えきねっと』から、『お客さまの電子メールアドレスが漏えいした可能性がある』という知らせが届いたのは9日の午後でした」
とは、20代の女性会社員。
「そこには『氏名、住所、電話番号、クレジットカード番号等』は漏洩のおそれはないと記されていました。でも翌日以降、私のスマホに知らない海外の番号や、0800で始まる怪しい番号から立て続けに電話がかかってきたのです。もしかして、何らかの形で電話番号も流出したのでは、と恐ろしくて仕方ありません」
一体、サイバー空間で何が起きているのか。一般社団法人「日本ハッカー協会」の杉浦隆幸代表理事は、
「今回の一連の不正アクセスの中には、従来の『ランサムウェア（盗んだ情報を“人質”に身代金を要求する）攻撃』ではないケースもみられます。単に情報を盗むだけの攻撃で、誰が何の目的で行なっているのかわからない。実に不気味です」
そう前置きしながら、
「サイバー攻撃には、もっぱらAIが使われているとみられますが、ここ数カ月間で攻撃までの『準備期間』が短くなっている印象です。ネットへの侵入が広く同時に行なわれており、対象となるシステムに脆弱性が見つかれば、すかさず入り込む。“犯人”は、AIによる攻撃の自動化や効率化のサイクルを回すことに成功していると言えます」
AIの進歩・成長の「弊害」が、こうしたところにも影を落としているというわけだ。
専門家も首をひねる「不正アクセス」急増の理由
サイバーセキュリティ対策を手掛ける「レオンテクノロジー」の守井浩司代表によれば、
「攻撃による被害が繰り返される背景には、防御する側との構造的な違いがあります。AI対AIの攻防になった時、攻撃側はシステムのどこか一つでも弱点を見つければ攻撃できますが、防御側はあらゆる弱点を見つけて対処しなければなりません。この『非対称性』があるため、完璧な防御を行なうのは難しいのです」
とのことで、
「抜き取られた情報が、これまで出回っていない新しい個人情報であれば、ネット上の『闇サイト』などのブラックマーケットで売買される可能性があります。一方、『この企業にダメージを与えたい』など特定の目的のもとに盗み出された情報は必ずしも売買されず、攻撃者の目的のために悪用される場合もあります」（同）
サイバーセキュリティに詳しい神戸大学の森井昌克名誉教授が言う。
「AIが一般の人にも使いやすくなったのに加え、現在はウェブ上に『攻撃』の方法に関する情報が載っています。外国語であってもAIに訊けば翻訳してもらえる。オープンAIのものをはじめ、ここ数カ月でAIは軒並みバージョンアップしており、サイバー攻撃実行のハードルが下がっているのです」
今回は、データをネット経由で保存して管理・利用する「クラウドサービス」も攻撃対象となっている。
「そのサービス提供会社を利用している企業が複数あれば、それぞれに影響が及ぶ可能性があります」（同）
たとえば前出のJR東日本は、ソフトバンクグループの「IDCフロンティア」が提供するクラウドサービスが攻撃を受けたことによって情報が流出。同社は契約中の495の企業や自治体が影響を受けていると発表した。
「サービス提供会社から『攻撃された』と通知を受けても、契約している各社があらためて調査しなければ自社の被害は分からない。発表のタイミングがずれるのは、そのためです」（同）
前述した闇サイトは通常の検索エンジンでは見つけにくく、かつ匿名性を高める仕掛けになっており、サイバー攻撃にも耐えうるとされる。取引には暗号資産が使われることもあり、資金の流れを追うのは困難だという。売買された情報は、別の犯罪に利用されていく。
「免許証の画像が漏洩すれば、顔写真を加工するなどして本人に成りすます者が出てきます。現在は銀行口座やクレジットカードを作ったり、消費者金融から借金したりといった手続きもネット上で本人確認書類の画像を送ればできるので危険です。被害者に成りすましてカードを作り、商品を購入して転売する。結果、代金請求が被害者に届くことになるのです」（同）
さらに続けて、
「被害者名義で作られた銀行口座が、特殊詐欺などの犯罪に悪用される可能性もある。犯人らが直接金銭をやり取りせずに口座を経由させ、そこで名前が使われれば、知らぬ間に被害者が一転、犯罪の共犯者にされてしまいます」
かように危険に満ち溢れた社会に、我々は身を委ねているのだ。
割引目当ての安易な会員登録は控えるべき
とはいえ、ネットをはじめデジタルとの関わりを一切断ち切り、カード類を捨てて現金だけの暮らしに戻るのは至難の業。であれば、サイバー攻撃の脅威に晒されるリスクを少しでも減らすべく工夫するほかあるまい。
独立行政法人情報処理推進機構（IPA）セキュリティセンター対処調整部の中島尚樹副部長が言う。
「もし利用しているサービスのパスワードが漏れたならば、直ちにそれを変更するのはもちろん、同じものを別のサービスで使い回している場合は、すべて変更すべきです。長くて複雑なパスワードに設定する。これが基本対策です」
使い回していれば、攻撃者によってそのパスワードが新たな情報の抜き取りに利用されかねない。さらに、
「『多要素認証』『パスキー』を設定することで不正利用のリスクを減らせます」（同）
というのだ。
「多要素認証では、IDやパスワードを入力しただけではログインできません。たとえば事前に登録してあるスマホにショートメッセージが届いて、そこに何桁かのワンタイムの認証コードが表示される。このコードをサイトに追加入力して初めて、ログインできるという仕組みです。現在はほとんどのサービスで設定できると思います」（同）
