生成AI悪用のハッキング摘発相次ぐ 韓国で820万件流出の初摘発、Qilin幹部も身柄引渡し

生成AIを悪用した大規模なハッキング事件の摘発が相次いでおり、サイバー犯罪の新たな実態が明らかになっています。

韓国・ソウル警察庁は、生成AIを使って820万件を超える個人情報を盗み出した疑いで、7人組の犯罪グループを摘発したと発表しました。捜査関係者によると、グループは去年9月から、企業や病院、学習塾など90社以上のシステムに不正アクセスし、個人情報を大量に盗み出した疑いが持たれています。さらに、企業に対して「個人情報を外部に流出させる」と脅迫するメールを送り、あわせて3億6000万ウォン（日本円で4200万円あまり）を要求していたとして、情報通信網侵害や恐喝の疑いも視野に捜査が進められています。

注目されるのは、主犯格とみられる32歳の男が、ブログなどでハッキングの方法を独学し、犯行に及んだとされる点です。専門的な訓練を受けていない人物でも、生成AIを活用することで大規模なサイバー攻撃を実行し得ることが示された形で、生成AIを悪用したハッキング事件の摘発は韓国で初めてとされています。韓国では金融機関などで個人情報の漏えいが相次いでおり、AIの悪用によるサイバー攻撃の可能性が指摘される中、政府は対応に追われています。

日本とも深く関わる摘発の動きもあります。国際ハッカー集団「Qilin（キリン）」の中心メンバーとされるロシア国籍の男（28）について、日本の捜査当局が国内で身柄を拘束し、今月2日にドイツ側へ引き渡していたことが分かりました。男はドイツ国内の企業のデータを暗号化して身代金を要求し、暗号資産を脅し取った疑いで、ドイツ当局が捜査しています。日本の捜査当局は逃亡犯罪人引渡法に基づき、今年5月に大阪市内で男の身柄を拘束。東京高裁が引き渡しを認める決定を出していました。

セキュリティー会社「三井物産セキュアディレクション」によると、キリンは2022年頃からの活動が確認されており、今年9月までの1年間に関与を主張したサイバー攻撃は計約1500件に上ります。昨年9月、アサヒグループホールディングスがランサムウェアによる攻撃を受けた際にも、同集団が犯行声明を出していました。

日本国内でも、大手企業を狙った身代金要求型の攻撃が相次ぎ、社会問題化しています。攻撃側が盗み出した情報の公開をほのめかして金銭を要求する手口は悪質化しており、政府は今月1日に施行された「能動的サイバー防御」の運用を始めたばかりです。生成AIの進化で攻撃の敷居が下がる一方、防御側の人材や体制の整備が追いついていないとの指摘があり、企業や自治体での情報管理の強化が今後さらに問われることになりそうです。