この秋は、個人情報の流出やサイバー攻撃のニュースがあふれています。
AIによる攻撃が原因だといったコメントも目立ちますが、記事をよく読むと、サービス提供者のもともとの安全対策が不十分だったと思われる事件も少なくありません。
AIが新しい脆弱性を発見することもあるでしょうが、以前から存在していた欠陥や認証上の弱点を、AIが高速かつ大規模に探し出し、攻撃に利用する危険も高まっています。
今月21日には、広く利用されているプログラミング言語PHPの重大な脆弱性”PHP2Shell”に対する修正版が公開されました。
また、Microsoft(MSFT)は、同じ21日、中国政府と関係する攻撃グループ”Storm-0940”が、AIを利用した侵入テストツール”ARTEX(アルテックス)”を悪用し、大規模なサイバー攻撃を自動化していたと報告しています。
Microsoftによると、このグループの攻撃では、ピーク時に毎分2,900回ものログイン失敗が記録されました。この一連のログイン試行では侵入成功が確認されていませんが、ARTEXを利用した別の攻撃では、標的の選定から3時間以内に組織のクラウド環境で特権アクセスを獲得したケースも報告されています。
ARTEX自体は侵入テストに利用できるオープンソースのツールですが、犯罪者がこうした技術を悪用すると、攻撃の速度や規模が大きく変わってしまいます。
こうなると、攻撃する側も防御する側も、AI同士の競争になっていくのでしょう。
最近のサイバーセキュリティーに関するキーワードを並べてみると、次のような感じです。
・個人情報の流出、ランサムウェア
・PHPの脆弱性とセキュリティパッチ
・AIエージェント型サイバー攻撃、ARTEX
・ゼロデイ攻撃(ソフトウェアやシステムに存在するセキュリティ上の脆弱性を、パッチが提供される前に悪用するサイバー攻撃)、サプライチェーン攻撃
・2段階認証、2要素認証、パスキー認証
・ディープフェイクによる本人確認の突破
・耐量子計算機暗号(PQC)
・デジタル遺産、デジタル相続
・アカウントリカバリー
いずれも重要な問題ですが、サイバー攻撃への対応を個人だけで行うのは、現実的ではありません。
犯罪者への厳しい取り締まりはもちろん、サービスを提供する企業の責任も大きくなっていくのでしょう。
日本については、優秀なセキュリティ技術者の待遇や給与を、少なくとも海外の競争力ある水準に近づけていかないと、国際的なサイバー攻撃の被害者になり続けるかもしれません。
安全対策に必要な費用を企業が負担するのか、サービス料金に反映させるのか、それとも国家の安全保障政策として支えるのか、という問題もあります。
ところで、個人情報の流出による被害は、お金だけの問題ではありません。
今月6日には、イスラエル政府が、偽造された日本のパスポートを使って入国しようとした中国人33人の入国を拒否したと発表しています。
この事件が日本人の個人情報流出と関係しているという証拠はありませんが、個人情報が身分詐称などに悪用されれば、知らないうちに海外の犯罪捜査に巻き込まれる可能性も考えられます。
自分の知らないところで、自分の名前や身分が利用されるというのは、恐ろしい話です。
一方、既に身近な問題として表面化しているのは、金銭的な被害です。
そして、このお金については、サイバー攻撃から守るためにセキュリティが強化されるほど、別の問題が大きくなりそうです。
本人のお金なのに、本人がお金を引き出せなくなるという問題です。
パスワードから2要素認証、そしてパスキー認証へと、本人確認の技術は進歩しています。
最近のパスキー認証には、機器を紛失しても認証情報を復旧できる仕組みがありますし、金融機関には、代理人や成年後見制度を利用して財産を管理する方法もあります。
それでも、高齢になって認知症になったり、スマートフォンを紛失したり、認証情報を忘れたりすると、資産へのアクセスが難しくなる場合があります。
本人確認を厳格にするほど、本人でさえ自分が本人であることを証明するのが難しくなる、という皮肉な現象です。
もちろん、アカウントを復旧する仕組みを用意することはできます。しかし、その仕組みを簡単にすると、今度は犯罪者に悪用される危険が出てきます。
さらに、持ち主が亡くなった場合はどうでしょうか。
遺族がネット銀行や証券会社の口座の存在を知らなかったり、暗号資産の秘密鍵が分からなかったりすると、相続できるはずの資産にアクセスすることが難しくなります。
日本には、原則として10年以上取引のない預金を対象とする休眠預金制度があります。休眠預金になっても、所定の手続きをすれば払い戻しを受けることができます。
銀行預金であれば、本人確認や相続の手続きを通じて、資産を取り戻す制度が整えられています。
しかし、自己管理型の暗号資産のように、秘密鍵を完全に失うと、事実上、誰にも動かせなくなる資産もあります。
お金は存在するのに、誰も取り出せない。
銀行の貸金庫から現金が盗まれた事件が話題になったのも、それほど昔のことではありません。
ところが、サイバー空間では、金庫の鍵がなくなるだけでなく、金庫がどこにあるのかさえ分からなくなる可能性があります。
今後、デジタル金融資産の種類や規模が増え続ければ、持ち主が亡くなったり、存在を忘れてしまったり、認証手段を失ったりして、長期間動かされない資産も増えるのではないでしょうか。
もちろん、そうした資産が自動的に金融機関や国家のものになるわけではありません。所有権や相続権は残りますし、資産の種類によっても取り扱いは異なります。
それでも、法律上の所有者は存在するのに、技術的には誰にもアクセスできない資産が、サイバー空間のどこかに眠り続けることになるかもしれません。
そうなると、少し奇妙な未来が想像できます。
犯罪者は、AIを使ってセキュリティの弱い口座や、盗み取った認証情報を探し回る。
一方、正当な所有者や相続人も、AIを使って忘れられた口座や、アクセスできなくなった資産を探し回る。
金融機関は、それらの資産を犯罪者から守るため、さらにセキュリティを強化する。
そして、セキュリティが強化されるほど、正当な所有者がお金を取り戻すことも難しくなる。
まるで、サイバー空間に埋蔵された財宝を巡って、犯罪者と正当な所有者が、それぞれAIを使って宝探しをしているような世界です。
将来のサイバーセキュリティーには、犯罪者を締め出す技術だけでなく、正当な所有者が確実に自分の資産を取り戻せる技術も必要になるのでしょう。
財産を守るための技術が、財産を取り戻すための最大の障害になってはいけません。
それにしても、これからのサイバー空間には、どれくらいのお金が眠ることになるのでしょうか。
AI同士が競い合う未来の宝探しゲーム。
その宝物の中に、自分のお金が含まれていないことを願うばかりです。
