ニュースの概要
韓国で、生成AIを悪用したサイバー攻撃により、学習塾、病院、ゴルフ場など90余りの事業者が被害を受けたと報じられた。摘発されたグループは、生成AIを本格的に使い始めてからわずか44日間で60社に不正に侵入した疑いがある。盗んだ個人情報や内部資料を材料に、複数の会社へ金銭を要求していたという。注目すべきは、狙われたのが大企業ではなく、地域の小さな事業者だった点である。学習塾は生徒や保護者の氏名、連絡先、成績、決済情報を扱う。規模は小さくても、預かるデータの重さは変わらない。AIが攻撃の手間を大きく減らしたことで、これまで狙う価値が低いと見られていた事業者にも、現実的な脅威が及び始めている。
引用元: 韓国で生成AIを悪用したサイバー攻撃、学習塾を含む多数の事業者が被害（KOREA WAVE）
分析・見解
44日で60社という速さが示す攻撃の変化
今回の事件で最も重い数字は、被害の多さよりも「44日で60社」という速度である。侵入先を調べる、弱い入口を探す、侵入後に目当ての情報を見つける。従来はこうした作業に、経験を積んだ人間の時間が必要だった。生成AIは、その下調べや手順の組み立てを肩代わりする。結果として、一人の攻撃者がこなせる件数が一気に増える。
攻撃の質が上がったというより、攻撃の単価が下がったと捉えるほうが実態に近い。1社あたりの手間が減れば、儲けが小さい相手でも採算が合うようになる。
小さな事業者ほど狙われやすくなる構造
これまで、小規模な事業者は「うちは狙われるほどの会社ではない」と考えがちだった。攻撃者の側にも、手間に見合わない相手を避ける理由があったからである。しかしAIで手間が下がると、この前提が崩れる。
学習塾、病院、ゴルフ場に共通するのは、会員や顧客の個人情報を持ち、専任のセキュリティ担当者がいないことだ。しかも、予約や月謝の管理にクラウドサービスを使い、パスワードの使い回しや、退職した講師のアカウントの放置が起きやすい。攻撃者から見れば、同じ手口を機械的に繰り返せる、効率のよい獲物になる。
日本でも、2023年以降、教育関連事業者の不正アクセスによる情報漏えいが繰り返し報告されている。海外の話と切り捨てられない。
学習塾の情報が持つ特別な重さ
学習塾の情報は、一般的な顧客名簿より厄介である。成績や志望校、家庭の経済状況をうかがわせる月謝の支払い情報、そして未成年の氏名と連絡先が一式そろっている。これは詐欺や脅迫に使いやすい情報であり、「子どもの成績を公開する」という脅しは、保護者に強い心理的圧力をかける。
今回のグループが金銭要求まで行った点も見逃せない。データを盗むだけでなく、被害者に直接交渉を持ちかけている。ここでも文面の作成や交渉のやり取りにAIが使われた可能性が高く、慣れない日本語や韓国語の壁も、もはや防御にならない。
防ぐ側にもAIを使える時代になる
悲観ばかりではない。防御側もAIで、不審なログインの検知や、設定ミスの洗い出しを自動化できる。問題は、そうした道具を使いこなせるかどうかが、組織の規模で差になる点だ。今後は、小さな事業者が単独で守る形から、契約するクラウドサービスや業界団体が守りを底上げする形へ移っていくだろう。事業者に求められるのは、自前で高度な対策をすることより、守りが標準で入った製品を選ぶ目である。
ビジネスへの影響
今日からできる最低限の防御を固める
高価な機器を入れる前に、基本を徹底するだけで被害の確率は大きく下がる。具体的には、管理画面や生徒管理システムへの二段階認証（＝パスワードに加えて、スマートフォンなどでもう一度本人確認する仕組み）の有効化、パスワードの使い回しの禁止、退職者や辞めた講師のアカウント削除である。
あわせて、成績や決済情報を一か所にまとめず、閲覧できる人を必要最小限に絞る。カード情報は自塾で持たず、決済代行会社に任せるのが安全だ。
取引先と契約を見直し、事故後の動きを決めておく
使っているクラウドサービスが、どんなセキュリティ対策をしているかを確認し、契約書で事故時の連絡と補償の範囲を押さえておきたい。システム会社に丸ごと任せている場合でも、情報を預けた責任は塾側に残る。
もう一つ重要なのが、事故が起きたときの手順書だ。誰が最初に気づき、誰が保護者へ連絡し、どの窓口へ届け出るか。A4一枚で構わないので、事前に決めておく。金銭を要求された場合は支払わず、警察と専門家へ相談するのが原則である。
保護者への説明が選ばれる塾の条件になる
これからは、授業の質だけでなく「子どもの情報をどう守っているか」が塾選びの基準になる。保護者向けに、取得する情報の範囲と保管方法を公開しておけば、安心感という差別化につながる。対策は費用でなく、信頼への投資だと考えてほしい。