最近、毎日のように個人情報流出のニュースが飛び交っています。しかも、セキュリティ対策を十分にしていそうな大手企業からも続々と報告が上がっています。流出総件数は日本全国の総人口よりも多くなっています。
そんな中、一番話題なのがGMOサイバー攻撃事件です。
今回はその事件を踏まえ、今、世の中で何が起きているのか、それに対して我々一個人がすべき対策は何なのかを解説していきます。
GMOサイバー攻撃事件の概要
2026年10月、GMOインターネットが提供する「お名前.com デスクトップクラウド」がサイバー攻撃を受けました。
具体的には、サービス利用者の個人情報が盗まれたり、身に覚えのないFX取引が大量に行われ、多額の損失が出ました。
そして、盗み出した個人情報を公開していくぞとGMOにちらつかせ、数億円のお金を要求しています。
実際に、期限内にGMOがお金を払わなかったとして、ハッカーは個人のかなり具体的な情報を公開しました。
まるで個人情報を人質とした誘拐事件のようです。
それに対してGMOの熊谷社長は、要求に屈することなくハッカーと戦う姿勢を見せ、被害者への補填や犯人特定の手がかりに懸賞金をかけています。
また、政府に対しても、国としてサイバー攻撃に対する対策をしてほしいと呼びかけを行いました。
最近の数々の個人情報流出の背景には間違いなくAIの発展があり、そのAIを使った凄腕ハッカーが大手IT企業の強固なセキュリティを突破したような印象を受けましたが、詳しく調べてみると全くそんな話ではありませんでした。
GMOのずさんなセキュリティ
今回被害に遭ったのは、FXの自動売買を行うようなシステム上で、専門用語を使わず簡単に説明すると、ネット上の利用者それぞれの専用ルームを管理する管理人ルームに入られ、全ての部屋を開けられるマスターキーを奪われたといったイメージです。
しかも、その管理人の部屋に入るのも、すごく高度なことをしたわけではなく、利用者として契約し、自分の専用ルームが与えられれば、そこから管理人ルームに通じていたとのこと。
そして、それぞれの利用者ルームと管理人ルームは自由に行き来できる仕様になっていたと。
なので、情報を抜くこともそんなに大変ではなかったと。
これは、攻撃を仕掛けた側のハッカーがネット上に公開した文章で言っていることです。
これに対してGMOの熊谷社長は、「セキュリティ上の問題は把握していたものの、改善に時間がかかっていて、対策する前に突破された」と話していますが、それに対しハッカーは「コードのこの部分の1行を削除するだけの簡単な作業だ」と言っています。
こんな甘いセキュリティでの運営が7年間にわたり行われていたそうです。
さらに、既にサービスを解約した利用者の部屋が、機能した状態でそのまま放置されていたようです。
これにより、「自分は事件前に解約していたから大丈夫」とはならず、過去にサービスを利用していた人も今回の個人情報流出の対象になっています。
他にもいくつか、ハッカーはGMOの脆弱性について指摘していました。
それらの発信をまとめると、「とにかくGMOのセキュリティは甘い」と言っています。
AIの発展でセキュリティリスクはどう変化したのか
近年のAIの発展は、サイバー犯罪にどのような影響を与えているのでしょうか。
最も大きな変化は、「犯罪の高度化」以上に「犯罪の低コスト化」です。
簡単に言うと、詐欺のハードルが劇的に下がったということです。
例えば、以前の詐欺メールには、不自然な日本語や明らかな誤字が目立つものもありました。
ところが現在は、AIを使えば自然な日本語のメールを誰でも簡単に作れます。
さらに、相手の名前や勤務先などの情報があれば、その人に合わせたもっともらしい文章まで作成できます。
音声や映像についても同様です。
AIを利用して家族や上司の声を再現したり、実在する人物になりすました映像を作成したりすることも可能になっています。
従来であれば高度な知識や多くの時間が必要だった作業を、AIが短時間で手伝ってくれるようになったのです。
他にも、詐欺メールを大量に送るのに相当な時間が必要だったのが、AIによって一瞬で済むようになっています。
これまで手間がかかりすぎて割に合わなかった小規模な詐欺も、コストが下がることで成立しやすくなります。
つまり、AIによって一部の犯罪の参入障壁が下がるのです。
他にも、人ではなかなか見つけられないセキュリティの欠陥や穴も、AIの発展により簡単に見つけられるようになっています。
我々ができる具体的なセキュリティ対策
セキュリティ対策で重要なのが、利便性とのバランスです。
例えば、すべてのサービスで毎回複雑なパスワードを入力し、その都度スマートフォンで本人確認を行うようにすれば、安全性を高められる場面もあります。
しかし、毎日のように使うサービスでそんなことをしていたら、面倒で仕方ありません。
そもそも、インターネット上の金融サービスや個人情報入力を必要とするサービスを一切利用しなければ、ネット経由の犯罪に遭うリスクは大幅に減ります。
しかし、それではインターネットの利便性を放棄することになります。
セキュリティを強くすればするほど、利便性は失われていきます。
なので現実的には、100点の鉄壁なセキュリティを目指すのではなく、少ない手間で大きな効果を得られる80点の対策を徹底することが重要です。
具体的には、次の5つを行ってください。
1. パスキーを導入する
パスキーとは、従来のパスワードに代わる新しいログイン方法です。
例えばiPhoneなら、顔認証などを使ってログインできます。
便利なのはもちろんですが、最大のメリットは偽サイトに強いことです。
従来のパスワードでは、本物そっくりの偽サイトに入力してしまうと、その情報を盗まれる可能性があります。
一方、パスキーは正規のサービスと結びついた仕組みなので、偽サイトにだまされてログイン情報を渡してしまう危険を大きく減らせます。
しかも、長いパスワードを覚える必要もありません。
安全性を高めながら、利便性まで向上する。
セキュリティ対策としては理想的です。
Google、Apple、金融機関など、対応しているサービスは全てパスキーにしていきましょう。
パスキー導入と合わせて、可能ならやってほしいのがパスキー以外でのログインの廃止です。
パスキーが優秀でも、他に入口があって、そこがザルでは意味がありません。
ただ、パスキーを設定できる全てのサービスが対応しているわけではないので、できるものは全てパスキー以外の入口を塞ぎましょう。
2. 多段階認証を設定する
多段階認証とは、パスワードだけでなく、もう一つ別の方法で本人確認する仕組みです。
例えば、パスワードを入力した後にスマートフォンで承認を求められるような方法です。
仮にパスワードが盗まれても、追加の認証が必要なので、第三者にログインされるリスクを減らせます。
パスキーに対応していないサービスでは、特に重要な対策です。
3. パスワードの使い回しをやめる
これは非常に重要です。
例えば、あまり利用していない通販サイトからパスワードが流出したとします。
そのパスワードを銀行やメールでも使い回していたら、他のサービスまで乗っ取られる可能性があります。
つまり、セキュリティ対策の弱い一つのサービスが、自分のすべてのアカウントの弱点になってしまうのです。
とはいえ、何十個もの異なるパスワードを覚えるのは現実的ではありません。
そこで便利なのがパスワード管理機能です。
Appleの「パスワード」アプリやGoogleのパスワードマネージャー、1Passwordなどを利用すれば、複雑で異なるパスワードを自動生成・保存できます。
覚えやすいパスワードを使い回す昔の常識は捨て去り、覚えることをやめ、複雑なパスワードをパスワード管理アプリに覚えてもらいましょう。
4. メールはGmailを活用する
詐欺メールへの対策として、Gmailの利用がおすすめです。
Gmailには、迷惑メールやフィッシング詐欺を自動的に検知する仕組みが備わっています。
もちろん、Gmailを使えばすべての詐欺メールを防げるわけではありませんが、不審なメールに接触する機会を劇的に減らせます。
5. メールのURLからログインしない
これはぜひ習慣にしてほしい対策です。
例えば、次のようなメールが届いたとします。
「不正アクセスが検知されました。至急パスワードを変更してください」
「証券口座が利用停止になります。本人確認を完了してください」
本物の企業から届いたメールのように見えても、安易に記載されたURLを開いてはいけません。
送信者の名前やメールのデザインは偽装できるためです。
重要なサービスについては、メールのリンクからログインするのではなく、普段利用している公式アプリやブックマークからアクセスしましょう。
これだけで、多くの偽サイトへの誘導を回避できます。
ちなみに、メールに書かれた電話番号に連絡するのも避けた方が安全です。
電話番号自体が偽物というケースもあるからです。
あなたの個人情報は既に漏れている
これだけ毎日、個人情報流出のニュースが飛び交っていて、自分の情報だけは漏れていないなんてことはありません。
絶対に漏れています。
たまたま、まだ何の被害にも遭っていないだけです。
なので、上記の対策は今すぐに行いましょう。
とはいえ、今から全てのWebサービスのログインID、パスワードを変更するのはかなり大変なので、優先順位の高いものをお伝えします。
優先度 ★★★
AppleアカウントとGoogleアカウント
これらは単なるメールやスマートフォンのアカウントではありません。
メール、写真、連絡先、パスワード管理、各種サービスへのログインなど、非常に多くの個人情報と結びついています。
特にメールアカウントを乗っ取られると、他のサービスのパスワード再設定まで悪用される可能性があります。
いわば、さまざまなサービスにつながる「合鍵」のような存在です。
優先度 ★★
銀行・証券・暗号資産取引所などの金融系サービス
次に重要なのが、銀行・証券・暗号資産取引所などの金融系サービスです。
これらは乗っ取られた場合、直接的な金銭被害につながる可能性があります。
特に大きな資産を預けている口座は、パスキーや多段階認証の設定に加えて、ログイン通知、取引通知、出金先変更時の本人確認なども確認しておきましょう。
なお、暗号資産を自分のウォレットで管理している場合は、ログイン対策だけでなく、復元用の秘密情報を他人に渡さないことも極めて重要です。
優先度 ★
楽天・Amazon・Yahoo!などのショッピングサイト
次に重要なのが、楽天やAmazon、Yahoo!など、クレジットカード情報を登録して普段買い物をするモールサイトです。
ここを乗っ取られると、不正利用されます。
優先度 ★
SNSアカウント
SNSアカウントです。
ここを乗っ取られると、自分の意図しない発信を勝手にされて詐欺を働いたり、そのアカウントを使って他のサービスにログインできてしまいます。
まずはこの順番で、今から早急にログインID、パスワードの変更やパスキー設定を行ってください。
まとめ
時代の発展とともに便利になっていく一方で、サイバー犯罪も巧妙化していきます。
GMOのような一流IT企業でも、セキュリティも一流とは限らず、簡単に突破されてしまっている現実を知ると、大企業だから大丈夫と安心することは全くできません。
かといって、過度に怯えて便利なものをあえて遠ざける必要はありません。
我々個人でも簡単に対策できることはたくさんあります。
パスキーを設定する、ID・パスワードを使い回さない、怪しいメールやサイトを遠ざける。
できることをすぐに実践し、備えていきましょう。
