1. 導入：身近に迫るサイバー危機の現実
「自分は怪しいサイトを開かないから大丈夫」「個人の端末がハッキングされなければ被害には遭わない」――多くの人がサイバー攻撃に対して抱いているこのような認識は、もはや過去の遺物となりつつあります。
インターネット産業の黎明期から31年にわたり業界の最前線に身を置いてきたGMOインターネットグループ代表の熊谷正寿氏は、いま極めて深刻な危機感を表明しています。「インターネットは人々を笑顔にするためのものだ」という信念のもと仲間たちと創り上げてきたサイバー空間が、悪意ある者たちによって根底から破壊されようとしているというのです。
熊谷氏が発した「いま、インターネットそのものが壊れかけている」という警告は、単なる一企業のトラブルや一時的なセキュリティ侵害の報告ではありません。AI時代の到来によってサイバー空間そのものが変質し、社会基盤全体が機能不全に陥りかねないという、構造的崩壊への緊急提言なのです。
サイバー攻撃の被害といえば、自分のスマートフォンやパソコンがウイルスに感染し、個人情報やデータが盗まれる事態を想像しがちです。しかし、現代における本当の惨事は、自身の端末が完全に無傷であったとしても容赦なく訪れます。
想像してみてください。スーパーで買い物をしてもクレジットカードが使えない。街のATMがすべて停止する。体調を崩して病院に駆け込んでも、電子カルテが開けないために診察も手術も止まってしまう――そんな一日を。
「あなたがハッキングされる必要はありません。あなたが依存しているシステムが止まるだけで、生活そのものが止まってしまうのです。そのとき、ポケットの中のスマホは、ただの高価な懐中電灯に変わります。」
この直感に反する事態は、決して遠い未来の空想ではありません。実際にWeb技術であるPHPの重大な脆弱性がAIによって瞬く間に悪用されたケースでは、自動化された攻撃試行がわずか数時間で数百万件に達しました。その結果、多くのWebサイトが自らを守るために、意図的にサービスを停止せざるを得ない状況へと追い込まれました。攻撃者はもはや個別の標的を狙うのではなく、インフラ全体へと無差別になだれ込んでいるのです。
この事実が突きつけているのは、「個人の端末をいかに強固に守るか」という従来のセキュリティ観念の限界です。どれほど手元の端末を最新状態に保ち防壁を固めていても、私たちが社会生活を営む上で依存している上位システムが停止すれば、個人の防御など容易に無力化してしまいます。私たちは今、「端末の防衛」という個人の閉じられた視点から、「社会的依存システムの堅牢性」という不可分の構造へと認識をアップデートしなければなりません。
今日のサイバー空間における最大かつ劇的な変化は、AI技術の爆発的な進化と、それに伴う攻撃手法の急速な悪用によってもたらされています。オープンウェイトのAIモデルが容易に組み合わされ、無数の攻撃ツールとして拡散したことで、かつては高度な専門技術と多大な時間を要したサイバー攻撃が、誰でも容易に実行できる時代へと一変しました。
その象徴的な事実が、グループ内のセキュリティ専門機関である「GMOサイバーセキュリティbyイエラエ」の調査によって判明しています。日本企業約20社を狙った不正アクセスの攻撃元において、本来はシステムを守るために開発された自律型AI侵入テストツール「ARTEX（アルテックス）」が悪用されていたのです。
プログラミングや攻撃の知識がなくとも、人間が簡単な指示を与えるだけで、AIが自律的にターゲットの弱点を探し出し、侵入まで一気に自走する――そのような脅威がすでに現実のものとなっています。
攻撃者の参入障壁と実行コストが暴落した結果、この1年余りで脅威のスピードと密度は異次元の領域へ突入しました。これは、AIが生成する無数の攻撃試行が防御側の人間やシステムの対応能力を限界まで圧倒する**「AIのサイバー飽和攻撃」**というべき新たな局面です。
システムを守るための最先端AIツールが、開発された瞬間から攻撃者の手に渡り、無制限な兵器へと転用される不可逆な構造。防衛側が人間ベースの判断と手作業に頼っている限り、AIのスピードで押し寄せる飽和攻撃を防ぎ切ることは物理的に不可能です。
GMOインターネットグループは、サイバー空間の危機に対応すべく5年前にイエラエセキュリティ社（現GMOサイバーセキュリティbyイエラエ）をグループへ迎え入れるなど、国内屈指のホワイトハッカー集団を擁してきました。高度な知見を持つプロフェッショナルを自社に抱えながら、なぜ今回の事態を未然に防ぐことができなかったのでしょうか。
実情として、対象となったサービスのセキュリティに関しては、事前に社内のホワイトハッカーから改善すべき課題が現場へ指摘されていました。現場のエンジニアチームもその警告を重く受け止め、対応を進めていました。
しかし、サービスの可用性（システムの稼働継続性）への影響や、他の運用タスクとの優先順位を考慮しながら慎重に対応を進めた結果、対応の深度とスピードが攻撃者の加速に追いつかず、結果としてその「間隙」を突かれる形となりました。
「グループ内にプロを抱えながら、なぜ防げなかったのか」という世間からの厳しい叱責に対し、誰よりも深い悔しさと無念を噛み締めているのは、事前に危険を察知し警告を発していた現場のホワイトハッカー自身であり、防ぎきれなかった技術陣に他なりません。どれほど高度な専門知見が存在していても、サービスの稼働や優先順位という組織的運用との摩擦が生じたとき、リアルタイムな防御措置として完結させることがいかに困難であるかを示す、極めて重い事例と言えます。
攻撃者がこの間隙を突いて与えた影響範囲と脅迫内容は、極めて悪質かつ深刻なものでした。
- 対象サーバー数: 26,739件
- 影響範囲: 国内外70社以上の証券会社・FX事業者に開設された取引口座に対する不正操作の継続
- 脅迫内容:
FX取引のためのVPS（仮想専用サーバー）という環境が標的とされましたが、これは単なる一サービスの障害にとどまりません。国内外70社以上の金融基盤と接続する環境が脅かされ、国民の資産や個人のPC内に存在する生活データまでが人質に取られるという、社会基盤そのものを狙った卑劣な犯罪です。
今回の事態を受け、GMO側が政府へ「能動的サイバー防御の適用」を具申したことに対し、メディアや有識者からは法的な位置付けに関する冷ややかな指摘が相次ぎました。それが、いわゆる**「二つの『ではない』」**です。
- 「GMOは、法が定める『特定社会基盤事業者』ではない」
- 「能動的サイバー防御は、民間企業から言われて動くものではない。政府が主体的に決めるものだ」
熊谷氏は、これらの法的な枠組みや政府の立場を深く理解した上で具申を行ったと明かしています。電力やガスといった従来の法制が想定するインフラ事業者という形式的な区分に固執していては、国内外70社以上の金融基盤に接続し国民の資産が晒されている現代の複雑なリスクに対応できないからです。
これは自社の責任を国に転嫁し、公金による救済を懇願するものではありません。10月1日に施行されたばかりの能動的サイバー防御法を、単なる絵に描いた描画ではなく、国民の財産を守るための「血の通った生きた制度」として機能させるための実質的な議論を促す投石なのです。
GMO側は、自社が果たすべき責任と負担を徹底して完遂する姿勢を明確に打ち出しています。
不正取引によって生じた損失については、取引所等が返金に応じない場合も含めて全額を自社負担で補償し、代替環境の6ヶ月間無償提供やシステム基盤の抜本的刷新をグループの総力を挙げて実施することを表明しました。国に金銭的・制度的な負担を負わせる意図は一切存在しません。
同時に、ICPO（国際刑事警察機構）出身者を含む200名規模の精鋭ホワイトハッカー集団を結集。高度なAI分析環境を用いたログ解析や痕跡特定を進めるとともに、裁判所を通じた開示請求手続きなど、法的根拠に基づく証拠保全を行っています。保有するすべてのログと証拠を警察や政府機関へ全面的に開示し、国境を越える犯罪集団の特定に向けて捜査に全面協力する体制を敷いています。
「この難局に向き合うにあたり、私は社会人人生の全てを賭ける覚悟です」
熊谷氏のこの言葉は、単なる企業のトップとしての謝罪や釈明を超え、インターネット黎明期から空間を築いてきた一人の人間としての執念を示しています。
今回のインシデントを「対岸の火事」や「一企業のセキュリティ対策の落ち度」として処理してしまうことは容易です。しかし、攻撃者がAIを武器に無差別かつ圧倒的な速度で襲いかかる時代において、形式的な事業者区分や法律の条文に囚われていては、次に倒れるのは他の社会基盤であり、私たち自身の資産やプライバシーになります。
法に真の命を吹き込むのは、条文の字面ではなく、現場で国民を守ろうとする官・民・国民の結束と覚悟です。自らの失敗を猛省して全面的な情報を開示する民間と、国境を越える犯罪に対して毅然とした方針を打ち出す政府が手を取り合い、「実効的な官民連携のモデルケース」を構築することこそが、壊れかけたサイバー空間を次の世代へ健全に引き継ぐ唯一の道筋です。
【読者への問いかけ】 もし明日、あなたが意識せずに依存している社会システムが「AIサイバー飽和攻撃」によって突然停止したとしたら――あなた自身やあなたの組織は、それにどう備えますか？
感想
まだ感想はありません。最初の1件を書きましょう！