わずか2分 AIが偽サイト作成…情報流出の起点に 「恐ろしい状況」ホワイトハッカーが警鐘
1
国内外で相次ぐ個人情報の流出。その背景に、生成AIの悪用が関係しているとの懸念が急速に高まっている。では、悪意のあるハッカーたちはAIをどのように利用しているのか。 「興味深いシミュレーションをお見せします」 ANNの取材に応じたのは、ハンガリーを拠点に活動する“東欧最強”のホワイトハッカー集団。そこで見せられたのは、誰もが、どこからでも、悪質なハッキングに加担しうる光景だった。
（ロンドン 立田祥久）
“東欧最強”ホワイト・ハッカー集団を取材
私たちが向かったのはハンガリーの首都ブダペスト。冷戦期から現代に至るまで国際的な諜報活動の舞台になってきた街だ。ホワイトハッカーの拠点は、中心部から車で20分走らせた住宅街にあった。
この建物の3階で活動しているのがホワイトハッカー集団「ホワイト・ハット」だ。国家安全保障に携わった経歴やNATOの機密取扱資格を持つメンバーらおよそ50人で構成されている。ハッキングに必要な業界トップクラスの資格をすべて持ち合わせているという。
ネットとパソコンさえあれば“どこにいても”ハッキング可能
出迎えてくれたのは、サイバーセキュリティ対策部門でトップを務めるデネス・フォドールさん。オフィスに足を踏み入れると、驚いたことにフォドールさん含め2人しかいない。聞くと、取材した金曜日は基本的にテレワークの日と決めているという。
「ハッキングにはインターネットとパソコンがあればいいのです。スマートフォンを使う人だっています。だから、どこにいても仕事ができるんです。公園でも、違う国でも、海の上でも」 見渡すと一見、特別な機器はなく、一般的なオフィスのようにパソコンが整然と並んでいるだけだった。
2分で偽ログインページ作成…進化するAIの脅威
さっそく核心を尋ねた。悪意あるハッカーはAIをどのように活用しているのか。フォドールさんはわずかに笑みをたたえながら、キーボードをたたき始めた。 「どんなAIでも簡単にできることです」
そしてチャットGPTに英語で打ち込まれた指示はたった1行で、驚くほどシンプルだった。
「テレビ朝日のログインページを作って」という内容の指示だ。テレビ朝日の職員に宛てた偽のログインページを制作するようAIに指示したのだ。オフィスに漂う沈黙。しかし、その時間はわずか2分弱で破られた。突然、黒い画面に解読不明の文字列が目まぐるしく流れた直後、1本のURLが出現。クリックすると、偽のログインページが表示された。
作成された「従業員用ページ」は全て英語で、テレビ朝日の公式ロゴとは似ても似つかないマークが付いているが、「Microsoft」のロゴは本物そっくりだ。 「攻撃者はこれを従業員に送りつけます。そして誰かが認証情報を漏らしてしまった場合、攻撃者はそれを悪用してシステムへのアクセス権を獲得してしまうでしょう」
フォドールさんによると、こうした偽サイトこそ、最近急増している個人情報の流出の起点になるという。 「攻撃者は入手したアクセス権を用いて同僚にメールを送信できます。同僚からのメールなら不審に思うこともなくクリックしてしまうかもしれません。そうなれば、社内のシステムへのアクセス権限がさらに広がります」
AIが下げたハードル「誰もがサイバー犯罪者に」
AIは言語の壁をも乗り越える。 「私は日本語をほとんど話せませんが、AIの手を借りれば文法もほぼ正確な偽のサイトを作成できます。それも数分、数秒で」 そのうえで、懸念を口にする。
「5年前ならサイバー攻撃を実行するための必要な知識を身につけるのに数週間から数カ月かかっていました。いまはAIに聞きさえすればいいのです。AIは一般の人がサイバー犯罪者になるハードルを下げました」
さらなるAIの悪用にも危機感を募らせている。 「現在、“AIで偽造された声”による被害者が増えています。闇市場ではわずか数ドル・数分で、誰の声でも完璧に複製できてしまうからです。そのでき栄えは驚くほど精巧で、非常に恐ろしいものです」
「地球の反対側からハッキングも…」AI時代に警鐘
ホワイトハッカーという仕事は、常に変化する状況を正確にとらえて事態に対応する必要があるためスピードが重要。そのためフォドールさんはノートパソコン1台でどこでも働けるようにしている。それは悪意あるハッカーも同じだ。 「森の中に住みながら地球の反対側の企業に侵入することだってできます」 そのうえで、国際社会に呼びかける。
「この恐ろしい状況について話し合わなければいけません」
私個人としては、見たこともないウェブページには接触しないよう心がけているので、今回の取材で作成された偽ページには騙されないと思う。ただ、100人、1000人と組織単位になったときに、誰一人として罠にかからないと言い切れるだろうか。まして、同僚になりすました攻撃者からメールが送られてきたとしたら…。リスクは身近なところにあると痛感した。
