サイバーパンデミックは仕組まれたのか（後編）

　前編では、盗む、止める、壊すと段階を上げる攻撃と、確認されないまま広がる噂を事実だけで整理した。

　後編は、その事実を私なりに分析し、この一連の出来事が偶然なのか、誰が得をするのか、そして私の仮説が外れる条件について自由に語っていくことにする。

※本ページにはアフィリエイトリンクが含まれています

警鐘と現実の順序を検証する

　前編で私は「AIが社会を壊しかねないという恐怖が先に世界へ流れた。この警鐘がWEF的なシナリオの前振りとして機能していると考えている。」と書いた。

　この部分について、改めて論理的に点検し直してみた。

　順序が先後であることは、因果や設計を証明しない。
　同じ現象は少なくとも三つの別の説明でも成り立つ。

• 共通基盤の連鎖
  JR東日本もニッスイも、同じIDCフロンティアの利用者だった。一つの基盤が落ちれば、業種の違う被害が同時に出る。これは同時多発に見えるが、実際は一点の障害である。

• 公表の連鎖
  一社が公表すれば、他社が調査を急ぐ。すると、これまで気づかなかった被害も表に出ることになる。
  この頃の件数の急増は攻撃の急増ではなく、発覚の急増かもしれない。

• 老朽機器の放置
  フランスの件は、更新されない旧型機器という古典的な弱点で説明がつく。

　一方で、AI型を支持する材料もある。政府自身がAI悪用を視野に入れていること、発覚のペースが速いこと、そして真偽不明ながら7分という犯行声明がなされたことだ。

　さらに、AIの攻撃利用は空想ではない。
　ハッカーがアンソロピック社のAIチャットボットを悪用し、メキシコ政府機関から大量の税務情報や有権者情報を盗み出していた事例が、今年2月に報じられている。

誰が得をするのか

　上記の状況を考慮しても、結果として誰が得をするかを考えることはできる。

　私の答えは前編と同じだ。
　サイバーパニックが起きれば、WEF型もトランプ型も同時に得をする。

• WEF型
  デジタルID、行動ログ、認証付きネットワークを、安全と復旧の名のもとに受け入れさせる大義名分になる。

• トランプ型
  地上網が麻痺するほど、地上から切り離された軌道上の基盤が、唯一生き残る計算基盤として存在感を増す。

　今回の事件は、この論理に具体性が高まったと言えると思う。実際、クラウド一つが攻撃されただけで、495の企業や自治体が影響を受けたのだから。

　すると、利権団体がこんな感じでしゃしゃり出てくるのだよ。

　今のままでは超危険だから、分散した小さな基盤より、強力で安全な大きな基盤へ移行させよう。みんなでレッツゴー！

　という論調な。皆の危機感を煽り、ある方向に大衆を向かわせるという常套手段だよ。

　そしてそのとき、どの陣営の基盤が選ばれても、個人の側に選択肢は残らない。

　一般市民だけが選択の自由を失うシナリオなのだよ。
　すでにステージは組まれ、我々はそこにハマった。

　ただし、得をする者がいることと、その者が仕掛けたことは別である。

　これはあくまでも推定であって、証拠ではない。
　まだ危険性が叫ばれている段階で、いずれは上記の道を辿るだろうという推論だ。

　また宇宙基盤も、地上局・端末・電源・運用ソフトに依存する以上、絶対に落ちないわけではないから完璧な解決策とも呼べないと私は思っている。

AI企業の側の論理を読む

　少し視点を変えて、AI開発企業の側から見てみる。
　ここでも推論と事実を分けて考えることにする。

　日本政府は5月28日、国土交通省を通じて鉄道などのインフラ事業者に、アンソロピック社のミュトスを含む高性能AIの悪用への備えを求めた。

　ミュトスは脆弱性の発見能力が高いとされる。
　AIが脆弱性を見つける速度が、人間の防御を上回りかねないという認識は、開発企業と政府の双方で、5月の時点ですでに共有されていた。
　つまり、今回の一連の事件より前から、この懸念は公に語られていたことになる。

　ここから、論理的には二通りの読み方が成り立つ。

1. 開発企業が最も強力なモデルを限定公開にとどめ、危険を強調してきたのは、一般に使わせるには純粋に危険だと判断したため。この場合、10月の事態は警告が当たったことになる。
   

2. 危険性の強調をプロモーションに利用した。自社の防御向けサービスの需要や、規制の枠組みづくりで先行する効果を期待できる。この場合、警鐘と利益が同じ方向を向く。

　厄介なのは、1.の視点も2.の視点も外部から区別できないことだ。
　警告が本物でも宣伝でも、取られる行動（限定公開、規制強化、防御投資）は同じになる。だから、この問題を判定できるのは動機の推測ではなく、個々の攻撃の技術的痕跡（侵入行動時間、手口の再現性、ツール）の公開だけである。

日本は何を試されているのか

　AI覇権の後編記事で書いたとおり、日本はどちらのモデルに対しても劣勢だ。サイバー対策は受け身で、国産の選択肢は乏しい。

　今回、その弱点がより具体的な形で表に出た。クラウドの一事業者に、自治体も食品メーカーも鉄道会社の関連サービスも乗っていたという事実である。

　一つが止まれば、業種を超えて同時に止まる。

　もう一つ重要なことを書いておくが、流出した情報は元に戻らないのだよ。

　タイムズカーでは免許証画像などが流出し、10月9日時点で少なくとも14県が、現物を紛失していない人にも再交付を認める対応を取った。
　ところが、更新後の免許証かどうかを事業者側が確かめる手段はなく、成り済まし防止の効果は限定的だという。

　警察庁が金融機関などに本人確認の厳格化を要請したところで、流出した情報は二度と取り戻せない（なかったことにできない）のだよ。

　もしよければ、こちらの記事も併せてご覧いただけると幸いだ。

　国や企業の備えが追いつくのを待っている間にも、次の攻撃は来る。では、個人はどう備えるべきか。

個人の生存戦略

　結論はAI覇権の後編記事と変わらない。システムから一定の距離を保ち、オフラインの領域を確保することだ。
　今回の事件で、これに一つ具体的な項目が加わった。

• 物理的備蓄
  水、食料、カセットコンロ、衛生用品。
  ここに冷蔵・冷凍に頼らない食料を意識して加えることだ。ニッスイの冷凍食品の入荷停止も、フランスの冷蔵庫の件も、コールドチェーンが弱点であることを示した。

　常温の食料があっても、温める手段がなければ活かしきれない。カセットコンロとボンベは、備蓄の相棒である。

• 現金とオフグリッド電源
  小銭・千円札を含む現金と、太陽光で充電できるポータブル電源。
  ポータブル電源はハイエンドモデルのものを購入した方が後悔が少ないと思うぞ。いずれ別記事で紹介する予定だ。
  

　現金や再発行しにくい書類は、まとめて物理的に守る場所を決めておく。金庫は、その最も簡単な方法である。

• 認知の独立
  噂に脊髄反射で反応しない習慣を心がけることだ。
  ドコモ・楽天の件のように、1億件流出と聞いても、公式の確認が出るまで自分の行動を変えない。
  パニックは認知から始まるからだ。

• 認証の整理
  パスワードの使い回しをやめ、パスキーや多要素認証に切り替える。以下の画像のように、パスワードを壁に書くのは絶対にダメだぞ。
  これは政府の注意喚起とも一致する地味な対策だが、最も効果が高い方法だ。
  

　前編でも触れたが、もう一歩進めるなら、物理的なセキュリティキーを持つ手がある。パスワードが流出しても、手元のキーがなければログインできない仕組みだ。
　偽サイトに誘導されても、本物のサイトでしか反応しないため、フィッシングにも強い。大切なアカウント（メール、銀行、クラウド）から順に切り替えるだけでも、効果は大きい。

　単一のシステムに全振りしない方が、どちらの秩序が主導権を握っても生き延びやすい。

この仮説が外れる条件

　この記事はあくまで仮説である。

　以下が確認できれば、AIによるサイバーパンデミックの前段階という見立ては外れたと判断しようと思っている。

・公表件数が平常の水準に戻る。
・攻撃の手口が、従来型の人間による犯行や単一のランサムウェア集団の金銭目的で説明できると判明する。
・日本の流出事案の共通性が、共通のクラウドや委託先だけで説明できる。
・フランスのような物理的な被害が散発で終わり、他国・他業種で続かない。
・デジタルID義務化や中央管理型ネットワークに向けた動きが、今後も出てこない。

　これらが揃えば外れである。
　そのときは、外れたと書く記事を出すつもりだ。

おわりに

　メディアはここしばらく、一般市民を煽り続けるだろう。流出した、AIが危ない、大統領令が出た、冷蔵庫が燃えた。

　そのうちに、私たちの行動や言論を規制する法案が可決され、ある条件を満たさないとネットにアクセスできない世の中が到来する可能性もある。

　攻撃の背後にいるのが誰なのかは、わからない。ただ、地上と空の両方から囲い込もうとする構造が見えているなら、その外側に、自分の生活の一部を確保しておくことだ。

　絶望してはいけない。それでは統制したい側の思うツボである。落ち着いて、自分の道を進もう。