「もはや防ぎようがない」サイバー攻撃は防御から“復旧”へ…世界最多被害のアメリカにみる最新対策

迷惑メールをブロックするのではなく、「放っておく」という発想

アメリカの携帯電話には「今、時間ある？」「今夜は暇？」というショートメッセージが当たり前のように届く。電話番号に心当たりがないので詐欺メールの類だということは一目瞭然だが、とにかく数が多い。自分の個人情報が犯罪組織に流れているのかと不安になり、アメリカ人の複数の知人に相談したところ、いずれも同じようなショートメールが日常的に届いているとのことだった。どう対策しているのか尋ねてみると、全員が「放っておく」という答えだった。

日本では不審なメッセージが送られて来たら、その番号を着信拒否にするなど、できる限りの対策を講じるのが大方の感覚だが、アメリカ人はこまめに対応するというようなことをあまりしない。なぜなら、その手のショートメールがあまりにも多いからだ。特定の番号をブロックしたところで問題の解決にはならない。だから「防御策などは無駄だ」と割り切っている人が多い。

これと似た発想がサイバー攻撃対策にも現れ始めた。これまではサイバー攻撃からシステムを「防御」することが最重要課題だったが、それよりも「復旧」に重点を置いて対応する方が現実的であり、企業や政府機関、自治体にとって有益だという考え方だ。「放っておく」というのではないが、「もはや防ぎようがない」というスタンスは不審なショートメッセージと同じだ。

マイクロソフトが10月に公表した「デジタル防衛リポート」によると、アメリカは世界最大のサイバー攻撃の標的となっており、世界全体のサイバー攻撃のうち25.5%をアメリカが占めている。2位はイスラエルで7.6％、3位はウクライナで4.8%、4位は台湾で3.9%と、地政学的な緊張、軍事衝突、戦略的利害関係に絡む国と地域が続くが、世界の4分の１ものサイバー攻撃の舞台となっているアメリカは、各段に厳しいサイバー環境に置かれている。

ちなみに日本は8位で2.5％を占めている。最近の日本企業に対するサイバー攻撃は、世界のハッカー集団が日本に狙いを定められたようにも見え、今後、数値が上昇することが考えられるが、このぐらいの数値でも日本社会全体を大きく揺るがしているのだから、アメリカ社会のサイバー攻撃のインパクトの大きさは桁違いなのかもしれない。

ＡＩの広がりが変えたサイバー攻撃の「常識」

サイバー攻撃の先にあるサイバー犯罪の被害額も膨れ上がっている。アメリカ連邦捜査局（ＦＢＩ）によると、2025年の被害額は前年比26％増の208億7700万ドル（約3兆3000億円）にのぼった。投資やビジネスメール、テクニカルサポートなどの詐欺の被害が圧倒的に多い。

サイバー攻撃は「防ぎようがない」という考え方の背景には、こうしたアメリカの実情がある。さらに人工知能（ＡＩ）の広がりがサイバー攻撃の「常識」を変えた。

ハッカーがサイバー攻撃にＡＩを使用し始めたことで、攻撃のスピードは格段に早くなった。以前は、ハッカーが標的のネットワーク内に200日間潜伏し、影響範囲を徐々に拡大してゆくとされていたが、ＡＩにより、最初の侵入からわずか数分でデータが外部に流出し始めることがあるという。

ハッカーは本システムだけでなく、組織が頼りにしているバックアップデータまでも標的にするようになった。ハッカーが本システムとセーフティネットの両方を侵害してしまえば、単に侵入を防ぐだけでは不十分だということになる。

サイバーセキュリティー会社、ルーブリックの公共部門最高責任者であるトラビス・ロシーク氏はアメリカメディアへの投稿で「防御策では時間は稼げても、任務を継続することはできない。ハッカーが侵入しても、中核的な任務機能を維持しながら、侵入された部分を隔離するような構造が必要だ」と訴えている。

国家的な安全保障問題と認識されているサイバー攻撃

アメリカではこの夏、12州の水道システムにサイバー攻撃があり、水道事業に影響が出た。温度管理や水質に関係する装置などを標的にした攻撃で、手動に切り替えるなどして対応し水道がストップすることはなかったものの、水道事業へのサイバー攻撃は国家的な安全保障問題として認識されるようになった。アメリカ政府はイランとつながりがあるグループの仕業とみているが、確定的なことは明らかになっていない。

また、ニューヨークでは2024年と今年、医療関連の企業や施設への大規模なサイバー攻撃があり、決済システムが停止し、患者らの医療記録や生体認証データなどが流出した。
こうした国民の生命や安全に深く関係する施設が事業を停止すると、国民の生命を危険にさらすこととなり、サイバー攻撃を受けても稼働を続けられるような「復旧」重視のシステム構築は大きな意味を持つ。

ところが、今年6月にニューヨークであったサイバー攻撃は「復旧」を重視した対応でも被害を抑えられなかっただろうと考えられている。

コンサートやスポーツイベントの「都」として世界的に知られるマディソン・スクエア・ガーデン（ＭＳＧ）がサイバー攻撃を受け2600万件もの個人情報が流出した。顧客情報のほかスポーツ選手やタレントら有名人の情報も含まれていた。システムに入り込んだ後。ハッカーはすぐにMSG側に接触し、データを返す代わりにカネの支払いを求めた。
しかしMSG側が政府機関の言う通りに支払いを拒否したことから、ハッカーは盗み出したデータの一部をネット上で公表した。
個人情報をさらされた顧客らはMSGなどを相手取り損害賠償などを求め訴訟に踏み切った。現在、集団訴訟は３つもある。

ハッカーが「場外乱闘」に出てきた場合、「復旧」という作業以外に被害者の「怒り」という重い課題を突き付けられてしまう。こうなってくると「防ぎようがない」からといって「防御」から「復旧」に頭を切り替えることは簡単にはできなくなってくる。

しかし、防衛やライフラインがサイバー攻撃で機能停止してしまったら、国民は「丸裸」になる。民間企業にしてもサイバー攻撃で営業活動が停止すれば、社会からの信用を失い、会社の存続が危ぶまれる。サイバー攻撃が日常的になればなるほど、ハッカーがどんな手を使ってきても、戦いながら任務や業務を遂行し続けることができる強靭な「体力」が社会全体に求められてくる。攻撃しても通常の任務ができるようになれば、サイバー攻撃を仕掛けてくる側にしてみれば、攻撃の意味が小さくなる。サイバー攻撃されても本業は動じないというシステムを完成させることが、ハッカーを打ちのめす唯一の道だ。

【谷中太郎】
ニューヨークを拠点に活動するフリージャーナリスト。業界紙、地方紙、全国紙、テレビ、雑誌を渡り歩いたたたき上げ。専門は経済だが、事件・事故、政治、行政、スポーツ、文化芸能など守備範囲は幅広い。