あなたの大切な人に、この記事を送ってください。インターネットを使うすべての人、つまりほぼ全員が、今何が起きているのか、そして自分を守るために何ができるのかを知る必要があります。
あなたがこれを読んでいるまさに今も、無数の AI エージェントの群れが、あなたが使っているウェブサイトに侵入しようとしている可能性が高いです。1 つや 2 つではありません。大量に、です。
私たちは今、ここ数年で最大のサイバーセキュリティ危機の真っ只中にいます。一部のセキュリティ専門家は、すでにこれを ブラック・オクトーバー（暗黒の10月） と呼び始めています。
あなたを怖がらせるために書いているわけではありません。その多くは、私たちの手に負えない領域で起きています。しかし、[自分を守るためにできる簡単なこと](https://somethingbig.ai/how-to-update-your-devices) はあります。何もしないより、何かする方がずっとマシです。
今週は毎時間のように、新たな攻撃が明るみに出ています。あなたがこの記事を読み終える頃には、おそらくもう一件増えているでしょう。
では、何が起きているのか、そしてどう対処すべきなのかをお伝えします。
今、何が起きているのか
情報量が多すぎる場合は、[対処法](https://somethingbig.ai/something-big-is-happening-in-cyber#what-to-do-today)まで飛ばしていただいても構いません。ただ、最後まで読んでいただくことを強くおすすめします。*
昨日、世界中のウェブサイトの約 70% を支えるソフトウェア PHP に、深刻な脆弱性が発見されました。
こう考えてみてください。国内にある何百万もの建物が同じ壊れた鍵を使っており、今や誰もがその開け方を知ってしまったようなものです。鍵のメーカーは修正版を送り出しましたが、各建物のオーナーが自分で取り付ける必要があり、まだ多くの人が対応できていません。
Cloudflare の CEO によると、このニュースが出てからわずか 2 時間で、攻撃者たちはその鍵を数十万回も試していました。今では数百万回に達しています。Amazon は、発表の 4 日前にはすでに誰かが試行していたと述べ、同社のセキュリティ責任者はこの脆弱性が 「現在、広く悪用されている」 と警告しました。（これは Amazon が警鐘を鳴らしているのであり、Amazon がハッキングされたわけではありません。）これまでのところ、これを通じた侵入成功は確認されていませんが、攻撃者はあらゆる場所を狙っています。予防措置として、Wikipedia を運営する組織はいくつかのシステムを停止し、オランダ、フィンランド、ドイツ、フランスなどの政府は ウェブサイトを一時的に閉鎖しました。
これはほんの一例であり、氷山の一角に過ぎません。ここでは特に大きなものをいくつか紹介します。すべてを挙げたら、読むのに何時間もかかってしまうでしょう。
- Microsoft によると、中国政府とつながりのあるハッカー集団が、AI ハッキングツールを使い、IT 企業が依存するバックアップサービスを通じて 2,000 を超える組織 に侵入を試みました。
- 約 200 万人の開発者が利用するクラウドプラットフォームが、顧客の 秘密鍵にアクセスされた可能性がある と発表しました。私の友人は今朝、そのうちの 1 つを使って口座からお金を引き出されていました。
- インド最大の銀行は、約 3,900 人の顧客の個人情報が ダークウェブ上に流出した と発表しました。
- ある犯罪グループが AI ツールを使用し、中南米全域の 400 を超える銀行や金融機関を攻撃 しました。
- ハッカーが、大手銀行を含む 韓国の 16 の金融機関 に侵入しました。
- 日本政府は、数千万人規模のデータが流出した可能性のある 侵害を受け、企業に対して 防御を強化するよう指示 しました。
- Stop & Shop、Hannaford、Food Lion のウェブサイトとアプリが 1 週間以上ダウン しました。
- FBI、NSA など 5 つの機関が、AI が作成した攻撃スクリプトを使うハッカーたちが、水道、エネルギー、製造工場を動かすシステムを下見していると 警告 しました。
各国政府はこれを予見していました。6 月、米国とその最も近い同盟国は、AI を活用したハッキングについてこう警告していました。「タイムラインは『数年』ではなく、『数ヶ月』だ。」(原文) それから 4 ヶ月後、まさにそれが現実になっています。
この記事のオリジナル版は こちらからご覧いただけます。
なぜ今回は違うのか
ハッキングの話は何年も聞いてきたはずです。では、何が変わったのでしょうか。
どの建物にも弱点があります。しっかり閉まらない窓や、安っぽい鍵の裏口などです。ソフトウェアも同じで、隠れた弱点だらけです。何十年もの間、それを見つけるのは稀な存在である高度なスキルを持った人たちだけで、その数は多くありませんでした。それが私たちの「防御」だったのです。優れた鍵があったからではなく、単に泥棒が少なかっただけです。
その「泥棒不足」は終わりました。 3 つのことが同時に起きたのです。
第一に、AI が弱点を見つけられるようになりました。今回の PHP の脆弱性は AI の助けを借りて発見され、AI ツールは何年も気づかれなかった数千ものバグを発見しています。
第二に、AI が自力で侵入できるようになりました。熟練したハッカーは不要です。ある人物は、ツイートよりも短い、たった 100 文字未満の指示を AI エージェントに与え、ほぼ自律的に動かしました。その結果、John Deere を含む 100 社以上の企業のウェブサイト に侵入し、コストは 1 件あたり推定 50 ドルでした。彼らは眠ることも飽きることもありません。侵入経路を見つけるまで、ひたすら試行し続けます。
第三に、防御側は必死に追いつこうとしています。すべての弱点は、すでに手一杯の人々が運用する何百万ものシステム上で、修正・テスト・適用されなければなりません。最も深刻なバグであっても、修正プログラムを出すまでに 平均で約 2 週間 かかり、そもそも全く修正されないウェブサイトも多数あります。セキュリティ企業 Cisco の推計では、このソフトウェアを実行しているインターネット公開サーバーの約半数が、古すぎて公式の修正プログラムを適用できない 状態です。
これらを合わせると、攻撃側が一度でも勝てばいいという「いたちごっこ」が生まれます。この攻撃者と防御者の間のギャップこそが、今後数日間のニュースで展開されることになります。
これは続き、さらに悪化する
これは「たまたま悪い一週間」ではありません。私たちが皆、備えるべき新しい時代の始まりなのです。
数字を見てください。セキュリティ企業 CrowdStrike によると、AI エージェントが関与しているとみられる攻撃は 8 月に 2 倍以上になり、9 月にはさらに倍増 しました。そして今週の状況を見る限り、加速する一方です。AI は数ヶ月ごとに進化し続け、運用コストは下がり続けています。今日のハッカーが使っているツールは、彼らが持つ中で「最も性能の低いもの」になるでしょう。
しかも、これらのツールはすでに世に出回っています。ある AI ハッキングツールが韓国の銀行への攻撃に関連した際、開発者は公開を停止し、ダウンロードページも閉鎖されました。しかし意味はありませんでした。すでにダウンロードした人は誰でも 使い続けることができる のです。
とはいえ良いニュースもあります。防御側も AI を持っており、かつてないスピードで弱点を発見・修正しています。最終的には、ソフトウェアへの侵入は今よりはるかに難しくなるでしょう。しかし現時点では、攻撃が防御を上回っており、しばらくはその状態が続く可能性があります。
これがあなたにとって何を意味するか
Axios によると、現在 JPMorgan、Bank of America、Wells Fargo といった米国の主要銀行は、顧客アカウント内に不正な AI エージェントを発見 しています。一部は顧客自身が設定したものですが、多くの銀行はどれが顧客の意図によるもので、どれがそうでないかを区別できていません。銀行幹部はこの状況を「恐ろしい」と表現しました。Axios は金銭が盗まれたとは報じていません。
しかし今日、ほとんどの人にとってより大きな危険は、依然として次の 3 つです。あなたの情報が漏洩し、詐欺師が名前、誕生日、住所、取引銀行を知っているため、電話や SMS が本物そっくりに聞こえること。何年も前に一度だけ使ったサイト経由で、あちこちで使い回しているパスワードによってアカウントが乗っ取られること。そして、頼りにしているアプリや薬局、店舗のウェブサイトが何日も使えなくなることです。
はっきりさせておきます。事態は進行中ですが、人々が最も恐れている最悪のシナリオはまだ起きていません。これからも起きないことを願っています。しかし、後悔するより安全策をとる方が賢明です。特に、こうした事態は今後も続くからです。
今日やるべきこと
第一に、騒ぎが落ち着くまでは知らないサイトを使わないでください。銀行、Amazon、Google など、よく知られた大手サービスにとどめましょう。小さなサイトほどパッチが当たっていない可能性が高く、外見からは判断できません。今後数週間は、見慣れないものにパスワードやカード番号を入力しないでください。
第二に、すべてを更新してください。スマートフォン、パソコン、タブレット、ウェブブラウザです。端末の設定画面にアップデートの通知が出たら、すぐにインストールしましょう。それがあなたの「鍵」になります。ルーターも同様です。古すぎてアップデートが提供されていないなら、買い替えましょう。ただし、ウェブサイトのポップアップや、SMS・メール内のリンクから「アップデート」をインストールしてはいけません。それは典型的な詐欺の手口です。やり方がわからない方は、こちらの簡単な手順ガイドをご覧ください。
第三に、使っていない「扉」は閉じましょう。不要なスマート家電の電源を切り、使っていないアプリは削除してください。接続されている機器はすべて、侵入経路になり得ます。
第四に、銀行口座を守りましょう。電話、SMS、メールでパスワードや、スマホに届いたばかりの認証コードを求められたら、それは 100% 詐欺です。例外はありません。そうしたコードは、銀行の公式アプリやウェブサイトに入力するためだけのものです。銀行に関する連絡は、自分で確認するまで疑ってかかりましょう。相手のリンクはクリックせず、教えられた番号にかけ直してもいけません。一度電話を切り、カードの裏面に記載されている番号にかけ直してください。本当に銀行からの用件であれば、きちんと対応してもらえます。
銀行のユーザー名とパスワードは、銀行の公式アプリまたはウェブサイトのみに入力してください。どんなに便利そうに見えても、AI アシスタントや他のアプリを含め、第三者には絶対に教えないでください。Chase 銀行も 誰にも教えないよう呼びかけています。メールと銀行口座で 2 段階認証を有効にし（方法はこちら）、パスワードの使い回しをやめましょう。パスワードマネージャーを使えば簡単ですし、iPhone や Android にはすでに標準搭載されています。
さらに慎重になりたい場合は、数日分の食料品を買える程度の現金と、少しの食料・水を家に置いておきましょう。これは通常の防災備蓄であり、いずれにしても持っておいて損はありません。
やってはいけないのは、銀行からお金を引き出すことです。パニックこそが、詐欺師の狙いです。仮に銀行自体が破綻しても、FDIC（連邦預金保険公社）に加盟する銀行の預金は、1 人・1 銀行あたり 最大 25 万ドルまで保護されます。この保険はハッキングで盗まれたお金は対象外ですが、連邦規則により、不正送金を速やかに報告すれば被害額が制限されるのが一般的です。そのため、こまめに口座を確認し、不審な点があればすぐに銀行へ連絡してください。自分で騙されて送金してしまったお金は取り戻すのが非常に難しいため、詐欺電話の方がより大きな脅威なのです。
これから数日は、いつもと違う雰囲気になるでしょう。さらなる発表も続くはずです。私は、ほとんどのサービスが正常に動き続けることを願っています。今日は、退屈な基本作業だけをこなしてください。
今すぐ、あなたの大切な人にこの記事を送ってください。 両親、祖父母、友人、グループチャット。インターネットに繋がっている人、つまり文字通りすべての人が、何が起きているかを知る必要があります。こうした情報を最も耳にしにくい人ほど、最も被害を受けやすいのです。
この記事のオリジナル版は こちらからご覧いただけます。
