サイバーパンデミックは仕組まれたのか（前編）

　先月末から続く国内の情報流出は、盗む段階から止める段階へ、そして海外では壊す段階へと進んだ。
　一方で、1億件流出という噂が駆け巡り、後から否定される実例も出ている。

　今回より前後編として、最近のサイバー攻撃に関して、これまでの私のAI覇権に関する記事に絡める形で投稿したいと思う。

※本ページにはアフィリエイトリンクが含まれています

工事が始まったようにみえる

　過去記事『AIインフラの覇権争い』の前後編で、私は世界経済フォーラム（WEF）とトランプ政権の二つの構想を設計図として書いた。

　そして今、その設計図の通りに現場が動き出しているように見えるのだ。

　発端は、27歳の若きAIエンジニア、ジェイコブ・コクソン氏の警鐘だ。

　2020年代末までに人類滅亡につながるリスクが10%を超える、という終末論的な内容だった。

　その話はこちらの記事に詳しく書いた。

　この若者の終末論的な警鐘は前振りだったと私は見ている。

　実際には、AI型と思われる小規模なサイバー攻撃が世界中で連鎖し、やがて雪崩式にサイバーパニック（＝サイバーパンデミック）へ至るのが本筋ではないだろうか。

　そしてそのパニックは、WEF型の地上統制とトランプ型の宇宙インフラ、両方にとって追い風になるというシナリオ。

　もちろん確定事実ではなく、今回も私の推論に基づく妄想エッセイだ。
　ただ、論理の筋だけは通したつもりである。

これまでのおさらい

　私のnoteでは、これまで若きAIエンジニアの発言をめぐる推論を展開してきたが、要点は以下の三つだ。

1. AI覇権を決めるのは、モデルの性能ではなく、計算資源・データ伝送・アクセス許認可という物理インフラの支配権。

2. WEFはサイバーパンデミックを起爆剤に、地上のデジタルIDと中央集権型AIによる統制を目指す。トランプ政権は、軌道上のデータセンターと衛星網という宇宙インフラによる覇権を目指す。

3. 両者は対立して見えて、実際は地上層（人間管理）と低軌道層（基幹AI）の二重構造として併存が可能。

　どちらが勝っても、個人の自律性は侵食される。
　結局、一般市民にとっては何ひとつ良いことがないというわけ。

今回は、この設計図に現実が追いついてきたと思われる点を見ていく。

警鐘は前振りだったのか

　オープンAI社、アンソロピック社の職員だった研究者ジェイコブ・コクソン氏が、自己改善する超知能の開発競争を批判して辞任し、人類に対する破滅的リスクを公に警告した。
　以下、過去記事から再利用。

　コクソン氏の警告の中身は、サイバー攻撃そのものではなく、超知能の暴走による破滅的リスクだ。

　ただ、私が見ているのは中身よりも順序である。

　AIが社会を壊しかねないという恐怖が先に世界へ流れた、という点だ。
　私は、この警鐘がWEF的なシナリオの前振りとして機能していると考えている。

　ただし、終末論の通りに一撃で世界が止まるとは思っていない。

　現実に起きるのは、小規模な攻撃が世界のあちこちで頻発し、そのたびに不安と疲労が積み上がり、ある臨界点を超えて連鎖的に大規模パニックへ転じる、という流れではなかろうか。

　なお、コクソン氏個人の背後関係を示す証拠は私にはない。
　誰が動かしているかを問うつもりはなく、警鐘が現実の出来事とどう噛み合うかだけを見る。

2026年9月下旬からの動き

　9月下旬から、国内で大規模な個人情報流出の公表が相次いだ。
　件数の大きい主な5件は以下のとおりだ。

• スカイチケット（10月9日）
  最大約1,464万件の顧客情報が流出した可能性があり、約413万件はログインパスワードも対象。攻撃は3つの経路から行われた。

• 焼肉きんぐ（10月5日）
  公式アプリの会員情報1,078万8,963件が漏えいした。

• 第一興商（10月8日）
  委託先のPC1台のマルウェア感染から、約872万4,000件が漏えいしたおそれがある。外部流出は未確認。 

• タイムズカー（9月28〜29日）
  約660万アカウントが対象で、うち約160万は免許証などの本人確認書類画像。 

• ローソン（10月7日）
  「ローソンID」会員の約1割にあたる215万件あまりが流出

• ブックオフ（10月9日）
  最大約643万件。会員番号の件数であり、実際の人数ではない。 

　業種はバラバラなのに、会員基盤、予約システム、委託先、VPN機器といった、つながりの弱い部分から入られている点が共通する。

　政府も動いた。10月8日に開かれた関係省庁会議では、古川サイバー安全保障担当相が「大変危急の状況だ」と述べ、AIを悪用した攻撃も見据えた対策強化が必要だとされた。

　一方で、被害急増の背景にはAI悪用が指摘されるものの、政府には基本的な注意喚起以外に打つ手が乏しいのが実情である。

補足：流出したと聞いても、できることは意外に地味である。使い回しのパスワードをやめ、重要なアカウントには物理的な認証キーを足しておく。これが最も効く自衛策の一つだ。

2026年10月以降の動き

　10月に入ってから攻撃の質が変わり、発覚のペースが一段上がったように見える。

　情報流出に加え、ランサムウェアやマルウェアを使った攻撃型に切り替わったのだ。
　こうなるとサービスの提供に支障が発生するため、本格的に実害が出てくる。

　10月7日未明、ソフトバンク子会社IDCフロンティアのクラウドがランサムウェアの攻撃を受け、495の企業や自治体がサービスを利用できなくなった。

　食品大手ニッスイのグループ会社では、冷凍食品の入荷や出荷ができない状況になった。

　埼玉のスーパーでは、人気の冷凍シュウマイが問屋にも在庫がなく、メーカーが卸さなければ店に入らない、という声まで出ている。 

　事態はこれだけで済まされない。

　IDCフロンティアは第3報で、情報漏洩はなかったが、東日本リージョン1の一部ゾーンに保管された顧客データは、取り出しや復元が困難な見通しだと発表した。
　復元は、利用企業自身が持つバックアップからしかできないというのが同社の見解である。 

　これは情報を盗む攻撃ではなく、社会の機能を止める攻撃だ。

　クラウドというネットの共通基盤が一つ落ちるだけで、自社は攻撃されていない企業の物流まで止まることが示された。

　なお、クラウドの管理画面には、犯人側が侵入に7分しかかからなかったと主張するメッセージが表示されていたという。真偽は不明で、検証されていない主張として扱う。 （ソースは英語）

　私がこれまで書いてきた物理インフラの支配権の話が、そのまま現実味を帯びてきているのだ。

　この速度と手口は、人間が一件ずつ手作業で攻めている姿とは考えにくい。脆弱性の探索、侵入、データの持ち出しまでを自動化した、AI型の攻撃である可能性が高い。

　そうなら、従来の人間の対応速度では止められない段階に入りつつある。

物理世界への攻撃開始

　そして海を越えて決定的な事件が起きた。
　
　フランスである。

　2026年10月11〜12日にかけて、カルフールやモノプリなどの冷蔵・冷凍設備を管理するソフトウエアが標的となり、冷却装置が除霜モードにされ、設備の温度が50度に設定された。

　被害は大手スーパー「インターマルシェ」の約300店舗のほか、カルフールなどを合わせて約500店舗にのぼり、機器の発火も報告された。

　パリ検察庁が捜査を始めた。
　被害額が数千万ユーロに上るチェーンもあるという。

　これはデータが盗まれた事件ではなく、サイバー攻撃により、食べ物が物理的に腐り、廃棄処分になったのである。
　スペインやポルトガルなど他国にも影響が及んだとの指摘もある。 

　ここで冷静に見ておくべき点がある。標的になった機器の大半は、製品寿命を迎えて更新対象外になっていた旧型だった。

　つまり、これはAIの超能力というより、放置された古い機器の弱点を突かれた事件だ。
　ただ、数百台を同時に狙った点について、専門家は一定のAI攻撃の可能性があると指摘している。 

　情報漏洩、ランサムウェア、システムの不正操作、物理的な破壊。

　攻撃の深刻度が上がってきている。
　これが偶然なのか、より深刻な方向に向かっているのかは、まだ分からない。

　冷凍も冷蔵も、止まれば数日で食べ物は使えなくなる。まずは常温で保存でき、普段から食べ回せるものを少し多めに置いておくことだ。

　私がnoteで語っている備蓄の内容がここでも活きてくるのだ。

噂と事実を分ける

　ここで、パニックの仕組みについて重要な点を確認しておきたい。

　10月上旬、ドコモのdポイント関連で約1億1000万件、楽天会員で約1億100万件の情報がダークウェブで売られているという投稿がSNSで拡散した。

　ドコモは調査の結果、同様の事実は確認していないと発表した。楽天も情報漏えいが発生した事実は確認されていないとして流出説を否定した。

　JRも同様である。JR東日本とビューカードは、9日に合計約609万件の情報が漏えいした可能性があると発表した。

　ところが、IDCフロンティアは14日、保管していた顧客データの外部流出は確認されなかったと発表し、さらに15日にはJR東日本、JR九州、JR東海の3社がいずれも漏えいは確認されなかったとした。

　もちろん、被害が実在する事例もある。
　たとえば楽天ドライブでは、1万5382アカウントの写真や文書などの保存データが取得・閲覧されたことが確認された。 

　現在世界あちこちで発生しているサイバー攻撃に関しては、以下の２つの視点で探っていく必要がある。

1. 本稿の仮説を支える証拠には、確認された被害だけを追うこと。ドコモ、楽天、JRの被害を検証結果を得ないままデータ流出とカウントするのは誤りである。
   

2. この事態はパニックの仕組みを浮き彫りにしている。
   恐怖を広げるには、実際の被害が1億件ある必要はない。
   「1億件が売られているらしい」という投稿だけで、世間は動揺し、企業は否定コメントの対応に追われる。
   必要なのは被害の実体ではなく、被害の認知だということ。

　盗む、止める、壊す。そして、被害の実体がなくても噂だけで人は動揺する。ここまでが現時点で確認できる事実である。

　この連鎖は偶然なのか。後編では、誰が得をするのか、AI企業の側はどう見ているのか、私の仮説が外れる条件は何か、そして個人は何を備えるべきかを検証していく。

後編はこちら：