視座·2026年10月21日

誰も書き留めなかった防御

今週、与党のサイバーセキュリティ戦略本部の本部長が、現状を「サイバー空間の非常事態」と表現した。ここ数週間で、日本の大手企業20社以上がサイバー攻撃を公表している。流出した顧客情報は数千万件にのぼる。

専門家が特に指摘する変化がひとつある。AIが、攻撃者にとっての日本語の壁を越えさせているのだ。

何十年もの間、日本語はセキュリティ対策として機能してきた。フィッシングメールは文面がおかしかった。偽サイトはどこか違和感があった。国外の攻撃者にとって、偵察には時間がかかった。リスク台帳に載せた人はいない。それでも、守りは効いていた。

身分証の写真も同じだった。運転免許証の画像をアップロードすれば、本人であることを証明できた。ところが一件の侵害で、160万アカウント分の本人確認書類が流出した。いま金融庁は、カードのICチップを読み取る方式への移行を銀行に求めている。

二つの防御。どちらも意思決定ではなかった。どちらも「条件」だった。

AIがその条件を変えた。誰も責任を持っていなかった。誰も書き留めていなかったからだ。

同じ一年で、日本の生成AI利用率は倍以上に伸び、58.8%に達した。攻撃する側も守る側も、同じ技術を取り入れた。そして、そこから学んだことは違った。

前回の記事で、システムを評価するには、その前に判断を書き留めておく必要があると書いた。リスクも同じだ。誰も書き留めていない前提は、誰も管理していない前提である。

それが、経営レベルでのAIリテラシーの意味だ。自社の前提のうち、どれがこの技術によって崩れたのかを知ること。社内で誰がその問いを引き受けているのかを知ること。身分証の写真がもはや本人の証明にならないとき、自社のポリシーが何と言っているのかを知ること。

ツールを使うことは、出発点にすぎない。どの会社も、書き留めたことのない防御の上で動いている。そして誰かが、すでにそれを試している。

出典