【記者解説】相次ぐ不正アクセスによる情報漏洩…その背景と私たちがとるべき対策とは？

全国で、不正アクセスによる個人情報の漏えいが相次いでいます。なぜ、ここ最近急増したのか、その背景や、私たちがとるべき対策についてここからは奥山記者が解説します。 ▼奥山宙　記者 企業や公的機関を狙った不正アクセスによって、個人情報が外部に漏えいする事案がここ最近、急増しています。高知県内でも情報が実際に漏えいしたり、漏えいした可能性があったりする事案が発生しています。 7日には、県の観光公式ファンサイト「高知の知」への不正アクセスで358人分の会員情報が外部に漏えいしたことがわかりました。さらに14日には、自治体向け情報配信サービスを運営するIT会社「アルカディア」への不正アクセスによって、全国の自治体や公的機関で個人情報が漏えいした可能性が浮上しました。南国市と安芸市でも、防災メールに登録されていたメールアドレスなど、合わせて1200件以上の個人情報が漏えいした可能性があります。 そして16日新たに発覚しましたが、高知市消防局の「災害連絡メール」と「聴覚・言語障がい者向け緊急通報システム」でも同様の不正アクセスがあり、登録された消防局の職員や消防団員など最大で1857人分の情報が漏えいした可能性があります。（119RAIDENとNET119） なぜ今、こうした「不正アクセス」事案が急増しているのか、専門家に取材しました。 サイバーセキュリティを専門とする「VLCセキュリティラボ」の中本有哉（なかもと・ゆうや）さんは、「サイバー犯罪者が『生成AI』を活用することが普遍的になってきた」と指摘します。 ▼VLCセキュリティラボ 中本有哉 代表取締役CEO 「本来のAIは、『危険なことはできない』と応えるところを、中国の企業が開発した生成AIについては、攻撃の指示をそのまま受け取り、実行してしまう。そのような倫理観の薄い生成AIモデルと、AIが活用できる攻撃ツール群が揃ったタイミングが、このシルバーウィーク前後」 中本さんによると、不正アクセスをする犯罪者は「AIを使ってネットワーク上を偵察し、サーバーなどに脆弱な部分が見つかれば、そこを攻撃して情報を抜き取る」といい、この一連の流れを、「AIを使って独立してできてしまう」ので、システムさえ構築すれば誰でも不正アクセスできてしまうということです。 こうして漏れた情報が、フィッシング詐欺や特殊詐欺といった犯罪に悪用される恐れがあるほか、今回のように複数の企業・サービスから漏れた情報を照らし合わせて、 ・住んでいる場所 ・ふだん使っているサービス ・ふだんの行動 …などが簡単にわかってしまう可能性もあります。 ▼藤崎美希アナウンサー 今回、南国市と安芸市で不正アクセスが発覚したのは、行政・公的機関ですよね？ ▼奥山宙 記者 そうですね、より高い信頼が求められる公的機関での事案が相次いでいますが、中本さんは「被害を防ぐことは難しい」と指摘します。 ▼VLCセキュリティラボ　中本有哉　代表取締役CEO 「各省庁でも、サイバーセキュリティ・民間の専門家などを招聘し、セキュリティ対策に予算を作って対応にあたっているのは間違いない。公的機関・省庁や官公庁に『もっとしっかりしろ』というのもわかるが、今この現代において、サイバーセキュリティの対策をやったとしても、100%攻撃を防ぐことは難しい時代になっている。『日本国民の中で漏洩に遭っていない人の方が珍しい』状態」 こうした状況なので、私たちが「できる対策」を進めることが大切です。中本さんや県警に取材したところ… 【日ごろからの対策】 ◆利用・会員登録しているサービスなどを「全て確認」 →不必要なサービスは会員登録を削除して、ネット上にある「情報漏えいのリスクそのもの」を減らす。 ◆安易にサービスなどに会員登録しない ◆すでに使っているパスワードを使いまわさない そして「情報が漏れてしまった場合」は、私たちを騙すメールや電話が届く可能性があるので、「届いた連絡が正規のものかどうか」確認してください。 例えば、ある企業・サービスから「情報が漏えいした可能性がある」といったメールが届いた際は、その会社の公式サイトを確認し、情報漏えいについて発表されているかどうか確認してください。この時、発表があっても無くても、問い合わせるのは、「届いたメールに返信したりメールに書かれている番号に電話する」のではなく、「公式サイトに記載されている正規の問い合わせ先に連絡」してください。 また、漏えいした情報の中に免許証の画像などがある場合、「信用情報機関」に連絡して、不正利用を防ぐための「本人申告」を行い、情報が悪用されない対策をとってください。 ・日本信用情報機構 ・CIC ・全国銀行個人信用情報センター 次に企業が行うべき対策です。 ・自社が公開しているサーバーなどの棚卸し →基本的に外部に公開しているサーバーから不正アクセスがある ・顧客接点の脆弱性チェック →ECサイトや会員アプリなど ・顧客情報の取捨選択 →退会した会員の情報は？ ・サプライチェーンなどのセキュリティ対策の確認 ・業務フローの見直し ・従業員を狙う詐欺を防ぐための教育