「なんだかおかしい、昨今のセキュリティ事情」
最近、情報漏洩のニュースを見ていると、やたらと「AI」という言葉が登場するようになりました。
AIを使った高度なサイバー攻撃。
AIによって巧妙化するハッキング。
AI時代の新たなセキュリティリスク。
確かに、AIの進化はすごいと思います。
私自身、日々その便利さを感じています。
でも、ちょっと待ってください。
何でもかんでもAIのせいにしていませんか？
そして、もう一つ気になることがあります。
情報漏洩を起こした企業が、いつの間にか「私たちも被害者なんです」という立場で説明しているように見えることです。
もちろん、悪いのは攻撃した人間です。
でも、それだけで話を終わらせていいんでしょうか？
AIが登場する前から情報漏洩はありましたよね？
そもそも、情報漏洩なんて、AIが登場するずっと前からありました。
パスワードが盗まれる。
システムの弱点を突かれる。
不審なメールを開いてしまう。
従業員が情報を持ち出す。
どれも昔からある問題です。
もちろん、AIを使えば、攻撃の手口を効率化したり、より自然な日本語で詐欺メールを作ったりできるでしょう。
以前なら専門知識が必要だったことを、AIの助けを借りて実行できる場合もあると思います。
でも、それはAIが犯罪を生み出したということではありません。
もともとあった犯罪に、新しい道具が加わったということです。
例えば、泥棒が最新の電動工具を使って金庫を破ったとします。
そのとき、「電動工具が進化したから仕方がない」となるでしょうか？
工具が悪いのではなく、それを犯罪に使った人間が悪い。
そして、金庫を管理していた側も、どんな対策が必要だったのか検証するでしょう。
AIも同じではないでしょうか。
AIという言葉はニュースになりやすい
ここで、マスコミの報道にも少し違和感があります。
「企業のシステムに不正アクセス」
という見出しより、
「AIを悪用した高度なサイバー攻撃」
の方が、何となく怖そうですよね。
新しい技術による未知の脅威。
これまでの常識が通用しない犯罪。
そんな印象を受けます。
もちろん、AIが実際に使われた攻撃なら、その事実を報じることは必要です。
しかし、攻撃にAIが使われたと確認できていない段階で、AIの脅威ばかりが強調されるのはどうなんでしょう。
例えば、2026年10月に報じられた日本国内の相次ぐサイバー攻撃でも、AIが攻撃を容易にしている可能性が指摘される一方、個々の事件にAIが関与したかどうかは確認されていないケースがあります。
AIの危険性を伝えることと、実際の事件の原因を調べることは、別の話です。
新しい技術の怖さを伝えるのはいいのですが、その言葉だけで読者が納得してしまったら、本当に大切な問題が見えなくなってしまいます。
企業は被害者。でも、それで終わり？
そして、もう一つ。
情報漏洩が起きると、企業から発表があります。
「外部からの不正アクセスを受けました」
「高度なサイバー攻撃を確認しました」
「お客様には多大なご迷惑をおかけしました」
もちろん、企業も攻撃を受けた被害者です。
システムが停止すれば仕事はできません。
復旧には費用も時間もかかります。
従業員だって大変でしょう。
そこは理解できます。
でも、顧客の立場からすると、少し違います。
自分の情報を預けていた企業から、
「私たちも被害者なんです」
と言われても、
いやいや、私の情報を預かっていたのは、あなたの会社ですよね？
と思うわけです。
もちろん、情報が漏れたからといって、必ず企業に管理上の落ち度があったとは限りません。
どれだけ対策をしても、防ぎきれない攻撃はあります。
それでも、情報を預かる責任が消えるわけではありません。
犯罪の被害者であることと、顧客に対して説明責任を負うことは、両立するんです。
そもそも、そんなに情報を持っておく必要があったのか？
私がさらに気になるのは、ここです。
大規模な情報漏洩事件が起きると、何十万件、何百万件という数字が出てきます。
それだけの情報を保管していたわけです。
でも、その情報、本当に全部必要だったんでしょうか？
何年も前に取引が終わった顧客の情報。
もう利用していないサービスの登録情報。
何のために集めたのかわからなくなっているデータ。
もちろん、法律上の保存義務がある情報もありますし、継続したサービスのために必要な情報もあります。
でも、何となく消さずに残している情報もあるのではないでしょうか。
昔は、情報をたくさん持つことが企業の財産だと言われていました。
顧客情報は宝の山
データは新しい資源
そんな言葉もありました。
でも、情報を持つということは、それを守る責任も持つということです。
たくさん集めれば、それだけ管理するものも増える。
必要のない情報を持たないことも、立派なセキュリティ対策ではないでしょうか。
本当に怖いのは、最新のAIだけなのか？
独立行政法人情報処理推進機構（IPA）が発表した「情報セキュリティ10大脅威2026」では、組織向けの第3位に「AIの利用をめぐるサイバーリスク」が初めて入りました。
確かに、注目すべき問題です。
でも、ランキングをよく見ると、第1位はランサム攻撃、第2位はサプライチェーンや委託先を狙った攻撃です。
さらに、システムの脆弱性を悪用した攻撃や、内部不正による情報漏洩も並んでいます。
つまり、AIだけが特別な問題というわけではないんです。
例えば、退職した社員のアカウントが残っている。
誰でも大量の顧客情報をダウンロードできる。
古いシステムを更新せずに使い続けている。
バックアップは取っているけれど、復元できるか試したことがない。
こうした問題は、AIが登場する前から存在しています。
最新のAI対策にお金をかける前に、やるべきことがある会社も少なくないのではないでしょうか。
もちろん、AIへの対策も必要です。
ただ、目新しい対策ばかりが注目されて、地味だけれど重要な管理が後回しになるとしたら、それこそ本末転倒です。
セキュリティ対策は、誰のためにやっている？
パスワードの定期変更や、メールを送る側は安心しているけれど、受け取る側は面倒な思いをしている。
これと少し似た構造が、企業のセキュリティ対策にもあるような気がします。
セキュリティ対策を導入しました。
専門業者に診断してもらいました。
社内研修を実施しました。
チェックリストも全部埋めました。
だから安心です。
本当にそうでしょうか？
もちろん、これらの取り組みには意味があります。
専門家の診断や従業員教育も必要です。
でも、それで何が守れるようになったのか。
どんな危険が減ったのか。
実際に攻撃されたとき、どこまで被害を抑えられるのか。
そこを考えないまま、対策を実施したことだけで満足してしまっていないでしょうか。
企業が守るべきなのは、セキュリティ対策を実施したという実績ではありません。
顧客の情報であり、事業であり、社会からの信頼のはずです。
犯罪者が一番悪い。それは間違いない。
ここは、はっきりさせておきたいと思います。
不正アクセスをする人間が悪い。
情報を盗む人間が悪い。
盗んだ情報を悪用する人間が悪い。
これは当然です。
だから、被害に遭った企業を一方的に責めたいわけではありません。
ただ、犯罪者が悪いことと、企業が情報を適切に管理しなければならないことは、別の話です。
そして、私たちが考えなければならないのは、攻撃が高度化するたびに、守る側の負担を増やし続けるだけでいいのか、ということです。
セキュリティ対策のために、莫大な費用をかける。
従業員に厳しいルールを守らせる。
利用者にも不便を我慢してもらう。
それで犯罪がなくなるなら、まだわかります。
でも、犯罪者は次の方法を考えます。
新しい対策を導入すれば、また新しい攻撃が生まれる。
もちろん、防御の努力をやめるわけにはいきません。
ただ、防御する側だけが努力し続ける構造そのものも、考え直す必要があるのではないでしょうか。
そして、そもそも、盗んだ情報は何のために使われるのでしょう？
愉快犯もいるでしょう。
政治的な目的で攻撃する人もいるでしょう。
でも、お金を目的とした犯罪もあります。
情報を盗んで売る。
その情報を買う人がいる。
そして、そこに市場が存在している。
しかも、その市場は闇市場だけとは限りません。
「個人情報を守りなさい」と言われる一方で、「個人情報を売る商売」が存在している。