未成年者による生成AI悪用！？楽天モバイル不正アクセス事件から考えるサイバーセキュリティの重要性

2025年2月、日本のテクノロジー業界を揺るがす事件が話題になりました。携帯キャリア大手「楽天モバイル」のシステムに対する大規模な不正アクセスが発覚し、その実行者が14歳から16歳の中高生3人であったことが判明しました。この事件は、AI技術を悪用した未成年者による新たなサイバー犯罪の脅威を浮き彫りにし、サイバーセキュリティの重要性を改めて社会に問いかけるものとなりました。

本コラムでは、サイバーセキュリティの観点からこの事件を分析し、今後の対策について考察します。

この事件に関与した3人の中高生は、オンラインゲームを通じて知り合った仲間でした。彼らは秘匿性の高い通信アプリ「テレグラム」を利用して、20億件を超えるIDとパスワードのセットを購入し、生成AIを活用して楽天モバイルのシステムに不正アクセスするプログラムを開発しました。

このプログラムは、購入したIDとパスワードを自動入力し、認証に成功すると通信回線を契約するという高度なものでした。3人はこのプログラムを運用し、不正に取得した通信回線を転売することで750万円相当の暗号資産を得ていたとされています。

近年、生成AIの進化は目覚ましく、業務の効率化や創造的な分野での活用が進んでいます。一方で、その利便性を悪用し、犯罪や偽情報の拡散に利用されるリスクが世界的に深刻化しています。特に、日本国内でも生成AIを用いたサイバー犯罪が現実のものとなりつつあります。

例えば、ある事件では、ネット上で公開されている生成AIを悪用し、身代金要求型のコンピューターウイルスを作成した20代の容疑者が逮捕されました。興味深い点は、容疑者に高度なコンピューターの専門知識がなかったことです。それでも、対話型の生成AIに指示を出し続けることで、ウイルスを作成することが可能になりました。

今回の楽天モバイルの不正アクセス事件でも、関与した中高生たちは独学でプログラミングの知識を習得し、生成AIを活用してプログラムを改良していました。彼らはChatGPTに対して操作の簡略化や処理速度の向上について質問し、そのフィードバックを活かして不正アクセスを自動化していました。このように、生成AIの発展は、従来は高度な技術を必要としたサイバー犯罪を、技術力の低い層でも実行可能なものへと変貌させつつあります。

パスワードリスト攻撃の自動化
生成AIを用いることで、大量のID・パスワードを高速で試行するスクリプトが作成でき、従来の方法よりも効率的なブルートフォース攻撃が可能になる可能性があります。

フィッシング詐欺の高度化
AIを活用して本物と見分けがつかないフィッシングサイトを作成し、個人情報を盗み取る手口が今後さらに高度化することが懸念されます。

犯罪の低年齢化と拡大
これまでサイバー犯罪を行うには高度なプログラミングスキルが必要でしたが、生成AIの進化により知識が浅い若年層でも短期間で犯罪を実行可能となっています。

本事件は企業のサイバーセキュリティにおける課題も浮き彫りにしました。

多要素認証（MFA）の強化
ID・パスワードのみに依存した認証システムでは、リスト型攻撃に脆弱です。生体認証やワンタイムパスワード（OTP）など、MFAの導入が急務となります。

異常検知システムの導入
AI技術を活用した異常検知システムを導入し、不審なログイン試行をリアルタイムで監視する必要があります。

ゼロトラストセキュリティの実装
「すべてのアクセスを信頼しない」ゼロトラストモデルを採用し、最小限のアクセス権限のみを許可するアプローチが求められます。

おすすめホワイトペーパーのご紹介！

「中小製造業が多数採用!専門人材なしで高度セキュリティ対策と運用負荷減。フルマネージドSentinelOne EDR」では、自工会や部工会のセキュリティガイドラインに対応し、専門知識がなくても始められる簡単で安心なサイバーセキュリティ対策をご紹介します。

本ホワイトペーパーでわかること

• ・中小製造業におけるサイバーセキュリティの課題と最適解
• ・官民挙げてのサイバー対策の推進とセキュリティガイドライン
• ・セキュリティ対策と運用を一括して依頼可能なアクトのマネージドEDR

こんな方におすすめです

• ・コストを抑えながらも高水準のセキュリティ対策を確保したい
• ・海外拠点にも迅速なサポートがほしい
• ・製造業におけるサイバー攻撃の特徴と求められているセキュリティ対策を知りたい

近年、未成年者によるサイバー犯罪が増加傾向にあります。FBIの統計によると、サイバー犯罪で逮捕された者の平均年齢は19歳であり、一般的な犯罪者の平均年齢37歳と比べて若年層の関与が顕著です。

1. サイバーセキュリティ教育の強化
   学校教育において、プログラミングスキルだけでなく、情報倫理や法的責任についても教育する必要があります。
2. オンライン上での監視と啓発
   SNSやゲームプラットフォームを通じた犯罪リクルートが増加しており、保護者や学校が監視と啓発活動を強化することが求められます。
3. 厳格な法的措置
   日本では不正アクセス禁止法が適用されますが、AI技術を悪用した犯罪に対する法整備の強化が必要です。

楽天モバイルの不正アクセス事件は、AI技術の進化とサイバー犯罪の新たな脅威を明確に示しました。未成年者による犯罪の増加を防ぐためには、倫理教育、法整備、企業のセキュリティ対策の強化が不可欠です。

AIは今後も私たちの生活に不可欠な技術となりますが、その利用には責任が伴います。技術の恩恵を享受しながら、その悪用を防ぐための社会システムを構築することが、私たちに課された大きな課題です。官民が一体となり、より安全なデジタル社会の実現を目指すことが求められています。