[セキュリティコラム] 人間中心のサイバーセキュリティの終焉

何が起きたのか

今年の秋、韓国の銀行、貯蓄銀行、キャピタル会社、証券会社、暗号資産取引所など、多くの金融会社がハッキングされました。10月半ばまでに、金融当局は16社が被害を受けたと確認しています。同じ攻撃者が、AIツールを使って大量の攻撃を自動で行ったようです。少数のサーバーとAIがあれば、一人でもこれほどの被害を出せるかもしれません。攻撃者はAIに、盗んだ金融データをどこで売れるかも尋ねていました。攻撃者は、まだ誰かわかっていません。

数字で見る被害と状況

• 10月半ばまでに、当局が確認した被害企業は16社です。
• 1年前、あるカード会社で約300万人分のデータが流出しました。
• あるAIモデルは1か月で、1万件以上の危険な弱点を見つけました。
• 攻撃者が弱点を使うまでの平均時間は「マイナス7日」です。つまり、修正プログラムが出る1週間前に攻撃される場合があります。
• 大手銀行の一部は、侵入されたことに気づくまで15〜68時間かかりました。

従来の守り方の限界

被害を受けた会社の多くは、証明書、良い設備、定期検査をすでに持っていました。多くのセキュリティチームは、穴をふさぐことや、チェックリストの項目を増やすことに頼ってきました。しかしこの方法がうまく働くのは、会社がすべての資産を把握し、すべての弱点を塞ぎ、攻撃者より速く対応できる場合だけです。AIはこの三つの条件を崩します。一つの弱点を塞ぐと、攻撃者は人、システム、共有サーバー、盗んだアカウント、電話詐欺などへ移ります。筆者はこれを風船にたとえています。片側を押すと、反対側がふくらむのです。

なぜ大切なのか

記事は、最初の防御を突破された後に何が起きるかを見て、確認することが本当の目標だと述べています。これを「ゼロトラスト」と呼びます。社内にいるからといって、どの利用者や動きも信用しない考え方です。筆者は、AIは守る側にも攻める側と同じくらい役立つと言います。会社はAIで普段の動きを見張り、怪しいアクセスをすばやく止めるべきです。人は警告を確認するだけでなく、ルールを作り、責任を持つ役割へ移る必要があります。経営者は、証明書の数ではなく、侵入をどれだけ速く見つけて止められるかで安全を測るべきだと筆者は言います。

今後注目すべき点

• 攻撃者が特定されるかどうか、また16社の調査がどう進むか。
• 韓国の金融会社が、チェックリスト型からゼロトラストへ変わるかどうか。
• 銀行が情報保護への支出を戻すか、減らすか。
• 当局が、証明書ではなく対応の速さで会社を評価し始めるかどうか。