安野貴博「攻撃される口があれば攻撃される」｜東洋経済（2026年10月）

何を語ったか

• 2026年10月、安野氏は、この数年でAIの能力が上がり、サイバー攻撃がしやすくなっていると述べました。被害は全世界で増えており、日本だけの話ではないとしています
• 今見えている被害は少し前の案件で、氷山の一角だと述べました。会社が攻撃に気づくことと、気づいて公表することの2つの関門があり、英国のある調査では公表まで行ったのは全体の6%だったと紹介しています
• 4月のClaude Mythosは危険なので一部の会社にしか渡されなかったが、8月末に中国のオープンウェイトモデルGLM5.3がMythosに迫る攻撃能力を持つと言われていると説明しました。中身が公開され、誰がどこで使っているか分からず、安全装置も簡単に外せてしまうので、10月後半、ちょうど収録している今くらいから本格化していくと見ています
• 攻撃のコストが下がり、以前のように狙う会社を絞るのではなく、ネットにつながっているものを片っ端から調べて穴があれば入る、ということができるようになったと述べました。1社あたり4000円くらいという調査もあるとしています。「うちは攻撃する価値もない」は間違いで、攻撃される口があったら攻撃されると思ったほうがいい、と話しました
• 以前はVPNやWordPressのような共通のシステムの共通の弱点が狙われたが、今は各社が個別に作ったWebのシステムの弱点も見つけられるようになり、自社のシステム経由で攻撃される例が増えていると述べました
• 経営者がやるべきこととして、システムの守りを固めることに優先順位を置くことを挙げました。一部の会社を除けば経営者が扱う問題になっておらず、情報システム部門任せで、費用対効果も分かりにくい。それでも、最悪の場合ランサムウェアや破壊工作でシステムが使えなくなる可能性を踏まえて、人とお金の配分を決めるのが基本だとしています
• 踏み込んだ対策として、動かしながらでは対策しにくい場合に、あらかじめ時間を決めてシステムを止める「計画停止」を挙げました。Mythosの公開後、銀行が使えない日を作ってまで修正を当てた金融機関もあるといいます。年に1回の脆弱性チェックではなく、AIを使って数日に1回など継続的に穴を探して埋め続けるやり方に移るべきだとも述べました
• 異常なアクセスがあったときに止めるかどうかは、マネジメント層が決める問題になることもあるので、取締役などトップが関わり、「このシステムがこうなったらこうする」という計画を専門家と作っておくことが大事だとしています。インフラのように止めると困るシステムもあるので、業種に合わせて決める必要があるといいます
• 個人ができることとして、パスワードを使い回さない、パスキーや多要素認証を使う、信用できないサービスに漏れて困る情報を書き込まない、を挙げました。ChatGPTの登場以降、自然な日本語のフィッシングメールが作れるようになり、言葉の壁に守られていた日本も攻撃しやすい国になった、とも述べています

社長にとってのポイント

安野氏の話のいちばんの要点は、サイバー対策は情報システムの担当者任せではなく、社長が優先順位を決める仕事だということです。まず、自社のホームページや予約・受注のシステムなど、ネットにつながっているものを一覧にし、それぞれ誰がいつ点検しているかを確かめるところから始められます。止めると困るシステムについては、異常があったときに止めるのか、誰が決めるのかを、取引先の業者と一緒に事前に決めておくと、いざというときに慌てずに済みます。

背景

10月10日のPIVOT、10月13日のTBS CROSS DIGに続き、サイバー攻撃とAIをテーマにした出演です。後半の政府が取るべき対策の話は、このページでは扱っていません。

出典：東洋経済オンライン「【チームみらい・安野氏に聞く】サイバー攻撃『新型AI』の猛威はこれから／国家レベルですべき対策／公的機関は高度専門人材の“待遇”見直しを／『ホワイトハッカー』が諸外国に比べ動きづらすぎる」（2026年10月23日）