東京報道新聞

バンダイチャンネルの大量退会処理事件で、対話型AIを悪用したサイバー攻撃の実態と、未成年による高度な不正アクセスの広がりが改めて浮き彫りになっています。

アニメ配信サービス「バンダイチャンネル」の会員アカウントが大量に不正退会させられた事件で、警視庁サイバー犯罪対策課は埼玉県所沢市在住の高校1年の男子生徒（15）を偽計業務妨害容疑で逮捕しました。 バンダイチャンネルを運営するバンダイナムコフィルムワークス社のサーバーに虚偽の情報を送り、約4万6812アカウントの退会処理を勝手に行わせたとされています。

捜査関係者によりますと、事件が起きたのは昨年11月4日夕方から夜にかけてで、男子生徒は自宅のパソコンから同社の通信内容を解析し、システムの脆弱性を突く形で不正なプログラムを作成していたとみられます。 対話型の生成AI「ChatGPT」に攻撃コードの作成方法などを尋ねながら、自らコードを組み立てて退会処理を自動化したという説明も寄せられています。

同社側は異常な退会処理の集中を検知し、一時的なサービス停止やアクセス遮断などの緊急対応を実施しましたが、男子生徒は約30回にわたりIPアドレスを変更しながら攻撃を継続していたとされます。 被害拡大を受け、バンダイナムコフィルムワークス社は昨年11月に警視庁へ相談し、その後の通信記録の解析などから男子生徒が容疑者として浮上しました。

警視庁サイバー犯罪対策課は今年6月、同じ男子生徒を他人のアカウントに不正にアクセスした疑いで、不正アクセス禁止法違反容疑により逮捕しており、今回の偽計業務妨害容疑はそれに続く措置となります。 男子生徒は容疑を認める一方で「会社に恨みはなかった」と供述しているといい、動機の解明や、作成したプログラムの具体的な内容について、警視庁が慎重に調べを進めています。

生成AI悪用の未成年サイバー攻撃相次ぐ 背景に「学習環境」とセキュリティの課題

対話型AIを悪用した未成年によるサイバー攻撃は、今回が初めてではありません。複合カフェ「快活CLUB」を運営する企業のサーバーに対する攻撃では、会員情報約729万件が漏えいした恐れがある事件で、大阪市の高校2年の男子生徒（17）が不正アクセス禁止法違反と偽計業務妨害の疑いで再逮捕されています。 この事件でも、対話型生成AI「ChatGPT」を活用して攻撃用プログラムを改良していたことが捜査で明らかになっています。

「快活CLUB」の事案では、攻撃対象となった会員システムに対し、認証情報の不正取得や大量アクセスを重ねることで、運営会社の業務遂行に重大な支障をきたしたとされています。 警視庁は、システムの脆弱性を発見した高校生が、生成AIを使って効率的に攻撃手法を学び、自作プログラムを高度化させていった可能性に注目しています。

こうした連続する事案は、プログラミング学習環境が身近になったことに加え、生成AIが専門知識を持たない利用者にも短時間で攻撃コードの作成手法を教え得る現実を示しています。 サイバー犯罪対策の専門家からは、未成年を含む利用者教育と、企業側のセキュリティ体制強化を同時に進めなければ、同様の事件が今後も繰り返されるとの警鐘が上がっています。

今回のバンダイチャンネルのケースでは、企業側が異常検知後に迅速な遮断措置を講じたものの、IPアドレスを変えた再攻撃に対応しきれなかった点が課題として浮かび上がりました。 生成AIが一般化する中で、サイバー攻撃のハードルは下がる一方、被害が集中する動画配信サービスやオンライン会員制サービスにとっては、通信の監視強化や多層的な認証の導入など、より高度な防御策を講じる必要性が高まっていると言えます。