不正アクセス急増背景に”中国製LLM”台頭、AIが自動で偵察→侵入→情報奪取

https://news.yahoo.co.jp/articles/2c807564e567a7a66e8718bce6ebd38538c605e8

不正アクセスによる個人情報の漏えいが全国で急増していて、サイバーセキュリティ専門家は「日本国民で情報が漏れていない人の方が珍しい。100％防ぐことは困難だ」と指摘します。こうした中、私たちはどんな対策を講じるべきなのでしょうか。

■「攻撃」の指示をそのまま実行…「中国製LLM」が9月以降の騒動に起因か

「LLM」は「Large Language Model=大規模言語モデル」のことで、生成AIの「脳」にあたる部分です。こうした「脳=LLM」を搭載したのが、「体」の部分にあたる「Claude」や「ChatGPT」などの生成AIサービスです。

この「LLM=脳」をめぐって、アメリカの企業が開発したLLMを搭載した生成AI=「Claude」や「ChatGPT」などは、ユーザーが「危険な指示」をした場合でも「それはできません」と、指示を拒否します。

しかし中本さんによると、「中国の企業が開発したLLMは、危険な指示や『攻撃する方法を教えて』といった指示を、そのまま受け取って実行してしまう」といいます。

中本有哉さん（サイバーセキュリティ専門家）
「そのような倫理観が薄いLLMを使った生成AIサービスと、AIが活用できる攻撃ツール群が揃ったタイミングが、このシルバーウィーク前後で、9月以降の全国での騒動に起因していると考えられる」

では、サイバー犯罪者は、こうした「悪用可能な生成AI」を、どのように使うのでしょうか?

【日ごろからの対策】
▶普段利用・会員登録しているサービスなどを全て確認する
→不必要なサービスは会員登録を削除して、ネット上にある「情報漏えいのリスクそのもの」を減らす。
▶安易にサービスなどに会員登録しない
▶すでに使っているパスワードを使い回さない

そして「情報が漏れてしまった場合」も、適切な対応が求められます。

■「あなたの個人情報が漏洩した」メールが来た場合は…

自分や家族の個人情報が漏洩してしまった場合は、それを知らせる電話やメールがきますが、その中には「偽電話・偽メール」も含まれている可能性が十分に考えられます。このため、まずは「届いた連絡が正規のものかどうか確認」してください。

・情報漏洩について公式発表があっても、なくても、問い合わせる場合は「公式サイト記載の正規の問い合わせ先」へ
・届いたメールへの返信、メール記載の電話番号に電話、メール記載のアドレスへの連絡はNG
・届いたメールに記載のURLをクリックするのもNG

公式サイトを確認する場合は「メール記載のURLをクリック」するのではなく、必ず「ブラウザを立ち上げ、1から検索して公式サイトまでたどり着いて」ください。そして企業・運営に問い合わせる場合も、「メール記載の連絡先へ連絡」するのではなく「公式サイト記載の連絡先」へ問い合わせてください。

電話で問い合わせる場合も同様で、問い合わせは「公式サイト記載・正規」の連絡先へ。そして電話中も、相手が少しでも「怪しい」と感じたら、そのまま電話を切ってください。

電話・メールどちらの場合も、大切なのは「1人で対処・解決しようとしないこと」で、困ったり迷ったり不安に感じたりした場合は、家族や友人、警察に相談してください。

■免許証などが漏洩した場合は「信用情報機関」への本人申告を

そして、万が一、自分の個人情報が本当に漏洩し、その中に運転免許証画像など重要な個人情報が含まれている場合は「信用情報機関」に連絡して、不正利用を防ぐための「本人申告」を行い、情報が悪用されない対策をとってください。

「信用情報機関」は、クレジットカード、ローン、スマホ分割払いなどの契約内容や返済・支払状況といった「信用情報」を収集・管理し、金融機関などの加盟会社からの照会に応じて提供する機関です。

高知県警が推奨する「信用情報機関」
・日本信用情報機構（JICC）
・CIC
・全国銀行個人信用情報センター（KSC）

■企業・運営側が講じるべき対策は、公開サーバーの棚卸しと社内教育

そして、企業や運営側のサイバー犯罪対策は、以下の通りです。

・自社が公開しているサーバーなどの“棚卸し”
・顧客接点の脆弱性チェック
→ECサイトや会員アプリなど
・顧客情報の取捨選択
→退会した会員の情報は?
・サプライチェーンなどのセキュリティ対策の確認
・業務フローの見直し
・従業員を狙う詐欺を防ぐための教育