かつてハッキングは、映画の中の話だった。フード被った天才が薄暗い部屋でキーボードを叩き、大企業のサーバーに侵入する。そういうやつだ。その時代は、終わりつつある。
AnthropicがClaude Mythos Previewを発表した。サイバーセキュリティに特化した能力を持ち、主要なOSとブラウザ全てに重大な脆弱性を発見した。危険すぎて一般公開できない、とAnthropicは判断した。
問題はここからだ。技術は必ず民主化される。核は物理的な材料が必要だったから拡散に限界があった。しかしソフトウェアはコピーコストがゼロだ。数年後、同等の能力が誰でも使える形で出回る。歴史が毎回そう証明している。
日本でも既に、ITの専門知識がない人物が生成AIを使ってランサムウェアを作成し逮捕された事例がある。中学生3人が生成AIを補助的に使い、大手通信会社に不正アクセスした事例もある。これはまだ「入口」の話だ。
つまりこういうことだ。素人が、プロのハッカー集団以上の能力を手に入れる日が来る。
ランサムウェアという絶妙なビジネス
現在のランサムウェア攻撃には、奇妙な誠実さがある。データを暗号化して身代金を要求する彼らは、約束を守る。なぜか。払えば解決するという実績を作らないと、次の被害者が払わなくなるからだ。犯罪者なのに顧客対応が丁寧、という歪んだ構造だが、一応機能している。
しかしこれが民主化された瞬間、その均衡は崩れる。組織的なプロではなく、個人や素人が参入してくる。ビジネスモデルなど考えていない。払っても解決しない、データはすでに複数にコピーされている、そもそも犯人が一人ではない、という状況が当たり前になる。
中小企業という無防備な標的
大企業はまだいい。セキュリティ部門があり、予算がある。
問題は中小企業だ。セキュリティ管理が属人的で、退職者が出てもアクセス権限の見直しが後回しになる。そういう会社は珍しくない。しかも中小企業には、多かれ少なかれ法律スレスレのことが眠っている。
攻撃者はそこを狙う。データを抜いて、公開するぞと脅す。警察に相談すれば自分の法律スレスレが露見する。泣き寝入りするしかない。払っても解決しない。完璧な詰みだ。
個人も他人事ではない
あなたのパソコンに、バレたくないものはないか。浮気の証拠、後ろ暗い趣味、人には言えない検索履歴。笑い話ではない。それが脅迫のネタになる時代が来る。
では何をすべきか
難しい話ではない。
個人情報を集めることはリスクだと認識する。守れないなら持つな。集めたデータは攻撃者にとっての資産でもある。
漏れたら困る情報はオフライン管理する。物理的に切り離されたものには、どんなAIもネット越しには触れない。
システムは部署単位で区切る。一箇所突破されても全体に広がらない構造にする。城壁一枚ではなく、堀、門、区画の多重防御。古典的な知恵だが、デジタルになった途端に忘れられている。
カウントダウンはすでに始まっている。被害届が出てから警察が考え始める頃には、地獄絵図が広がっているかもしれない。備えた人間と、備えなかった人間の差が、数年以内にはっきりと出る。
コメント