📺 この記事は YouTube チャンネル きなこもっちーのテック深掘り の動画解説記事です。
▶️ 動画はこちら → AIでハッキングは別物になった？｜玄関は変わっても、鍵の弱さは変わらない
🐹🦜 この記事に登場する2匹
- 🐹 もっちー （ハムスター）… AI はまだ勉強中。「それどういうこと？」と素朴に質問する生徒役
- 🦜 きなこ （セキセイインコ）… AI で調べものをこなす解説役。やさしく深掘りして教える先生役
この記事は2匹の掛け合いを書き起こした形式です。発言の先頭にいる絵文字＋名前が話者です。
はじめに
🐹 もっちー「AIでハッキングがすごくなったんでしょ？じゃあ昔の事件なんて、もう参考にならないよね？」
🦜 きなこ「じゃあ2つ並べてみるね。2015年の日本年金機構は、届いたメールのリンクを開いたところから入られたの」
🐹 もっちー「メールかぁ。今どきは、もっとハイテクな入り方なんでしょ？」
🦜 きなこ「2025年のアサヒグループホールディングスは、拠点のネットワーク機器から入られたと公表してるの」
🐹 もっちー「入口、ぜんぜんちゃうやん！ほな、やっぱり別物ってことやろ？」
🦜 きなこ「玄関は変わったの。でもAI以前と今の報告書を並べると、突かれた弱点は、同じいくつかの型に収まるんだよ」
🐹 もっちー「鍵の弱さは、変わってないってこと？」
🦜 きなこ「そういうこと。じゃあAIは何を変えたのか。家にもある同じ型の穴と一緒に、順番に見ていくね」
いま、どこから入られているのか
🐹 もっちー「でもさ、ハッキングって結局、怪しいメールを開いちゃうせいでしょ？テレビでも、ずっとそう言ってるし」
🦜 きなこ「そう思うのは自然だよ。開かないでって、ずっと注意されてきたもんね」
🦜 きなこ「ここで警察庁の数字を2つだけ見るね。1つ目は警察に届いた件数で、起きた件数そのものじゃないの」
🦜 きなこ「2026年の上半期、ランサムウェアの被害報告は123件。半期で数えると、統計を取り始めてから一番多いの」
🐹 もっちー「ランサムウェアって…なんか、身代金みたいなやつだっけ？」
🦜 きなこ「うん。データを使えなくして、元に戻す代わりにお金を求める攻撃なの」
🦜 きなこ「2つ目は入口。被害にあった組織が答えた中で、一番多い入口はVPN機器で、約半分なの」
🐹 もっちー「VPN機器？それ、なに？」
🦜 きなこ「会社の外から、社内のネットワークにつなぐための機械なの。離れた場所からの保守なんかに使われるんだよ」
🐹 もっちー「ってことは、会社の外から入るための、専用の玄関ってこと？」
🦜 きなこ「うん、いい言い方。しかも警察庁は、メールの添付ファイルで感染するケースは少なくなってる、って書いてるの」
🐹 もっちー「ほんまかいな！メールより、玄関の機械から入られたほうが多いんか！」
🦜 きなこ「ネットにさらされた入口の、直してない弱点や、漏れたパスワードが使われてる、とも書いてあるの」
🐹 もっちー「でもそれって、AIが出てきてからの話なんじゃないの？」
🦜 きなこ「それが違うの。AIが話題になる前、2021年の病院の事件で、もう外とつながる機械が破られていたと考えられているの」
玄関は変わった
🐹 もっちー「病院も？じゃあ、昔と今で、入られた玄関ってどう変わってきたの？」
🦜 きなこ「今回調べた事件のうち、侵入口が公表されたものを、年の順に4つ並べるね。経路が分かっていない事件は、ここでは数えないの」
🦜 きなこ「まず、さっきの2015年の日本年金機構。リンクを開いた端末が感染して、共有フォルダの個人情報が外に流れたの」
🐹 もっちー「メールの中のリンクかぁ。ぼくも、おやつ当選って書いてあったら押しちゃいそう…」
🦜 きなこ「これがAI以前の、メールの玄関。次は2021年、徳島県のつるぎ町立半田病院なの」
🦜 きなこ「ただ、報告書のログの調べでは、その入り方を最後まで証明することはできなかったの」
🐹 もっちー「病院って…。診察が止まったら、患者さんが一番困るやつだ」
🦜 きなこ「うん。通常の診療を再開できたのは、年が明けた2022年の1月だったの」
🦜 きなこ「同じ2022年には、大阪急性期・総合医療センター。入口は病院の中じゃなかったと考えられてるの」
🦜 きなこ「委託先の給食システムにつながる、リモート保守用のVPN機器から入られたと考えられてるの。そこから病院のシステムまで広がったの」
🐹 もっちー「えっ、病院の外の、給食の会社のほうから入られたかもしれへんの！？」
🐹 もっちー「ってことは、自分ちの鍵はちゃんとしてても、合鍵を預けた相手の家から入られる感じ？」
🦜 きなこ「近いのは入口の話ね。報告書も、VPN機器の管理やつなぎ方の運用がきちんとしていれば、被害を免れた可能性があるって書いてるの」
🦜 きなこ「そして、さっきの2025年のアサヒは、グループ拠点のネットワーク機器が入口だったね」
🐹 もっちー「メール、VPN装置、委託先の機械、拠点の機械…。家で言うと、玄関、勝手口、業者さん用の裏口って感じ？」
🦜 きなこ「そうなの。玄関は、ちゃんと時代ごとに変わってきてるんだよ」
🦜 きなこ「でもね。報告書を読み比べると、中で突かれた弱点のほうは、似た種類のことが何度も出てくるの」
変わらない鍵の弱さ
🐹 もっちー「その似た種類って、具体的にはどんなの？」
🦜 きなこ「まず半田病院。VPN装置は、入れたときからソフトの更新がされていなかったの」
🦜 きなこ「しかも端末のパスワードは短くても登録できて、何回まちがえても締め出されない設定だったの」
🐹 もっちー「何回まちがえてもいいの？それ、当たるまで何回でも試せちゃうじゃん」
🦜 きなこ「次に大阪急性期。Windowsのパスワードがサーバーも端末も全部共通で、全員が管理者権限。締め出しの設定もなかったの」
🐹 もっちー「それ、ぼくのおやつ箱と同じだ…。箱の鍵、全部おんなじ番号にしてる」
🦜 きなこ「1つ開いたら、全部開いちゃうね。報告書にも、パスワードが共通で、盗むのは簡単だったと書かれてるの」
🐹 もっちー「あと、全員が管理者権限って、それ、そんなにまずいの？」
🦜 きなこ「管理者権限は、どの部屋も金庫も開けられるマスターキーみたいなものなの」
🦜 きなこ「それを全員が持っていたら、誰か1人のパスワードが盗まれるだけで大ごとなんだよ」
🦜 きなこ「そして2025年のアサヒ。拠点から入られたあと、データセンターでパスワードの弱さを突かれて、管理者の権限を奪われたの」
🐹 もっちー「データセンターって、会社のコンピューターがいっぱい置いてある部屋のこと？」
🦜 きなこ「そう。そこでマスターキーを取られちゃった、ってことなの」
🐹 もっちー「ちょっと待って！2021年も2022年も2025年も、パスワードの話が出てくるやん！」
🦜 きなこ「気づいたね。これが、変わらない穴の型。大きく分けて3つあって、1つ目が認証の弱さなの」
🦜 きなこ「2つ目は、更新されずに放っておかれた入口の機械。3つ目は、委託先や外とつながる入口の管理なの」
🐹 もっちー「あ、さっきの給食の会社の話は、3つ目だったのか！」
🦜 きなこ「そう。それと3つとは別に、2015年の年金機構では、決めた保管のルールが徹底されず、守られているか確かめる仕組みもなかったの」
🦜 きなこ「ルールが形だけになる、っていう穴もあったんだよ」
🐹 もっちー「玄関は変わっても、鍵のほうは変わってないんだね…。じゃあAIって、何も変えてないの？」
🦜 きなこ「変わったと言えそうなところは、あるの。それを知ると、この同じ型の穴を、なぜ今ふさぐべきかが見えてくるんだよ」
AIで変わったこと
🐹 もっちー「でも、被害の報告って過去最多なんでしょ？それって、AIのせいで攻撃が増えたからだよね？」
🦜 きなこ「その2つの話、同じ時期に並んでるもんね。でも、つなげていいかは別の話なの」
🦜 きなこ「ここでは、ChatGPTが公開された2022年11月を、便宜上の境目にするね。大阪の事件は、その少し前なの」
🦜 きなこ「で、さっきの警察庁の資料には、被害が増えた原因はAIだ、とは書かれていないの」
🐹 もっちー「えっ、そうなの？じゃあ、AIで変わったって言えることは何なの？」
🦜 きなこ「海外のセキュリティ企業の観測だと、入られてから中で広がるまでが速くなって、AIを使う攻撃者の動きも増えたとされてるの」
🦜 きなこ「ただ、それは1社が世界全体を見た観測で、日本で被害が増えた原因を示すものじゃないの」
🐹 もっちー「じゃあ日本のほうでは、何か分かってることあるの？」
🦜 きなこ「IPAの10大脅威2026では、委託先を狙う攻撃が前の年に続いて上位で、AIをめぐるリスクが初めて選ばれたの」
🐹 もっちー「AIのリスクが新しく入ったのに、委託先の話はずっと上のほうにいるんだ…」
🐹 もっちー「ってことは、AIのせいで、いちばん変わったのって何なの？」
🦜 きなこ「セキュリティ企業の観測では、攻撃が速くなったとされてるの。でも今日見た報告書で突かれた穴は、AI以前からある型だったの」
🐹 もっちー「空き巣の動きは速くなったって言われてるのに、鍵の弱さは昔のままってことやん！」
🦜 きなこ「その同じ型の穴が、自分の家にもあるかもしれないの。しかもそのうち1つは、今夜でも確かめられるんだよ」
まとめ
🦜 きなこ「玄関は時代ごとに変わった。でも今日見た報告書では、鍵の弱さは似た型のまま。AIは速さを変えたとされるけど、原因とまでは言えないの」
🐹 もっちー「その鍵の弱さ、ぼくの家にもあるの？」
🦜 きなこ「3つの型は、そのまま身の回りに置きかえられるの。認証の弱さは、パスワードの使い回し」
🦜 きなこ「放っておかれた入口の機械は、アップデートの放置。委託先の管理は、誰かに渡したままのアクセス権だよ」
🐹 もっちー「渡したままのアクセス権って、たとえば？」
🦜 きなこ「仕事なら、外の会社に作ったアカウント。家なら、前に家族や友だちに教えたままの共有のパスワード、なんかだね」
🐹 もっちー「これ保存しとこ！ワイのひまわりの種の隠し場所にも使えるやん！」
🦜 きなこ「今日1個だけ試すなら、メールみたいな一番大事なアカウントを1つ選んで。そのパスワードが、ほかと同じじゃないか確かめてみて」
🐹 もっちー「なんや、確かめるだけか。それならワイでもできそうやん！」
🐹 もっちー「…そういえば、飼い主のパスワードも、全部おんなじだったりして」
🦜 きなこ「それは、飼い主が帰ってきたら、一緒に確かめてもらおうね」
🦜 きなこ「みんなの職場やおうちで、一番ふさぎたいのはどの型だった？コメントで教えてね」
🐹 もっちー「ぼくは2つ目かな…。アップデート、ずっと後回しにしてるもん」
🦜 きなこ「ちなみに、セキュリティの事件は別の動画でも取り上げてるの。今日の型で見直すと、また違って見えるはずだよ」
🐹 もっちー「気になる！そっちも見てみよう！」
きなこもっちーのテック深掘り では、AI/LLM を中心としたテック全般をハムスター（🐹 もっちー）とセキセイインコ（🦜 きなこ）の掛け合いで楽しく解説しています。
▶️ 動画で観る → AIでハッキングは別物になった？｜玄関は変わっても、鍵の弱さは変わらない
👍 この記事が役に立ったら LGTM・ストックしてもらえると励みになります！
📺 チャンネル登録はこちら → きなこもっちーのテック深掘り
🔗 他の解説動画も見る → きなこもっちーのテック深掘り の動画一覧