サイバー攻撃による個人情報の流出が一連のものと報じられるようになったのは先月25日、子会社の駐車場運営会社がカーシェアリングサービスの企業から約660万件の個人情報が秀出したことがきっかけ。今月にかけて1000万件以上、2000万件以上の個人情報流出の発表が相次いだ。情報流出を公表したのは50社を超え短期間に大量の被害が相次ぐのは例がない。企業からの原因の説明のほぼない。中には運転免許証の画像・クレジットカード番号・暗号化していないパスワードが流出したものもある。企業はサイバー攻撃の被害者だが多くの利用者が怒り・落胆していることを自覚しないといけない。流出を防ぐ対策を行うのは企業の責任。被害が相次いだことにAI悪用の可能性が指摘されている。今回の不正アクセスは血管があるか分からないサーバーに対しAIで探索を行い様々なサーバーを無差別に攻撃する手法。情報セキュリティの啓発をしている団体や研究所が手口の一部を特定したと発表。そこにはAPIの悪用がある。異なるコンピューターシステムをつなぎ機能やデータを連携させる仕組み。スマートフォンのアプリはAPIサーバーと接続している。長所は全てのシステムを直さなくても一部改修で実現でき迅速に開発・費用もやすい。短所は別々の業者が部分改修を繰り返し全体のセキュリティー管理が難しい。想定していない通信を遮断する必要があり、多数のAPIサーバーがあるネットサービスではすり抜ける経路が見落としがち。JPCERTコーディネーションセンターは今回のサーバー攻撃で犯罪グループのコミュテーターを複数突き止めアプリを痕跡した痕跡が残っていたことを明らかにしている。スマートフォンのアプリ中心に多機能ネットサービスが増加し複雑となりセキュリティーの穴ができたのが今回の被害につながったといえる。企業に必要な対策は防御にAIを活用すること。公開前のセキュリティー検査が行われるが手作業が主流。犯罪グループと同じように守る側もAIで検査をする必要がある。しかしAIに検査を指示すると軽微なミスも大量に指摘される。課題を解決するために必要なのは情報セキュリティに詳しいITエンジニア育成でAIに頼るだけでなく確かな知識が必要。IT業界ではAIを使うプログラミングが流行しAIが生成したプログラムの65％余りに深刻な欠陥がある。Aiをうのみにせずセキュリティーを学ぶ人材が欠かせない。さらに手口の分析と共有が必要。被害企業は原因について口を閉ざしている。どのような対策が不十分だったのか社会の知見としなければ今回の情報流出の教訓にならない。企業が情報を主役し再発防止策を早急に公表する必要がある。国による取りまとめも必要。