[ITmedia ビジネスオンライン] GMOの情報漏えい、何が起きていたのか？ 神戸大教授が指摘する“死角”

　企業・組織に対するサイバー攻撃と個人情報漏えいのニュースが相次いでいる。情報セキュリティに詳しい森井昌克氏（神戸大学名誉教授）は「サイバー攻撃の本質は見えないこと。対策が追い付いておらず、本質的な対策ができていない企業が多い」と話す。

　森井氏は10月28日、キヤノングループのITソリューション事業を担うキヤノンITソリューションズ（東京都港区）のメディア向け説明会に登壇、相次ぐ被害に警鐘を鳴らした。

　被害報道の裏で何が起きているのか。深刻な事態を招いたGMOインターネットグループの事案を通じて見えてきた脅威の構造や、企業と経営層が直視すべき実効力ある対策について、森井氏の指摘から探る。

なぜ今、情報漏えいが相次ぐのか？　実はずっと「潜んでいた」

　連日報じられるインシデントを見て「サイバー攻撃が突如として激増した」と捉えがちだが、森井氏は「必ずしも急激に激増したとは言い難い」と指摘する。

神戸大学 名誉教授、近畿大学情報学研究所 客員教授、情報セキュリティ大学院大学 客員教授の森井昌克氏（編集部撮影）

　背景にあるのは、クラウドや委託先を狙った攻撃の影響範囲の広さだ。基盤となる1社が侵害されることで、連鎖的に数十・数百社の被害として表面化する構造がある。

　さらに、サイバー攻撃の本質は「侵入されても気付けないこと」にある。2025年の事例をみると、アスクルでは攻撃を受けたと判明する4カ月前、アサヒグループホールディングスでも障害発生の10日前からすでに侵入されていた。今回、発覚が相次いでいるのは、大規模な報道を受け、各社が自社環境を点検した結果、潜伏していた攻撃が次々と顕在化した側面も強いという。

　攻撃の手口は新奇なものでなく、スマートフォンの普及に伴うAPIの脆弱（ぜいじゃく）性など、既知の弱点を突いたものも多い。

　AIの影響については、新たな攻撃手法の構築というよりも、脆弱性探索の高速化にあるという。米Microsoftでは月例で同社製品・サービスの脆弱性修正報告をしているが、2025年は月当たり50～170件だったのに対し、10月に公表された脆弱性は1400件を超えた。

　「このことからも、AIによって非常に多くの脆弱性が発見できるようになっているのが分かる」と森井氏。企業のパッチ適用やアップデートが追い付いていない隙を突かれているのが実態だ。