AI自動スキャンで攻撃拡大 あらゆる業界に波及
デジタル発展部部長の林宜敬氏は、最近国内で複数のサイバー攻撃や個人情報流出事件が発生し、91APP、易遊網から忘品などに及び、100万件超の個人情報が影響を受け、一部の事件にはAI関連の攻撃手法が関与していると述べた。この一連の攻撃による直接的な財務損失は小さく、直接金銭を盗んだり身代金を要求したりしたわけではないが、個人情報が詐欺グループに売却され、ブランドの信用をさらに傷つけており、背後の間接的な財務損失は非常に膨大である恐れがある。デジタル発展部は緊急記者会見を開き、最近のAIサイバー攻撃の動向、よく見られる攻撃手法およびセキュリティ防御の重点を説明し、企業にセキュリティ強化によるセキュリティ管理と個人情報流出事件の適切な処理を呼びかけるとともに、市民に警戒を高め、二次詐欺を防ぎ、公式ルートで情報を確認し、二段階認証などの安全措置を活用するよう注意を呼びかけた。
フロンティアモデルが脆弱性を探索しキルチェーンを形成
林宜敬氏は、AIの発展に伴い、現在はフロンティアAIモデルがセキュリティ脆弱性を探索し、キルチェーンを形成して一連の攻撃手法でシステムに侵入できると述べた。今回のセキュリティ攻撃はこの基盤を利用し、全世界のサイトを自動スキャンしており、国内で最近発生したセキュリティ事件や個人情報流出も同様の手法による攻撃を受けたものだ。セキュリティ署通報対応組長の黄卓倫氏は、同様の手法は国内だけでなく横行しており、日本では委託先を含め100社超の企業が被害を受け、韓国でも1000社超の金融会社がハッキングされ、47.3万件のデータが奪われ、10億元韓国ウォンが盗まれ、フランスでも先日冷蔵庫が被害に遭い、攻撃範囲はあらゆる業界に及び、AIスキャンがあらゆる業界の防御を突破したことを示していると指摘した。
ARTEXツールが侵入を加速 APIが主な被害対象に
台湾で最近発生したセキュリティ攻撃について、黄卓倫氏は、現在判明している個人情報流出案件では、流出したデータは主に氏名、電話番号などの個人情報で、クレジットカードなどの金融情報の流出はまだ確認されていないと述べた。被害案件の分析では、約半数の攻撃がAIに関係し、ハッカーはさらにARTEX自動侵入テストツールを組み合わせ、システム脆弱性の発見や攻撃の効率を高めている。よく見られる攻撃は高リスクのホットスポットを狙い、影響を受けたプラットフォームにはPHP、Node.js、GitHubなどが含まれ、このうちAPIもハッカーの主要な標的となっている。APIは大量のデータにアクセスでき、一部は高い権限を持つため、一旦侵入されれば影響も大きくなる。AIはハッカーが自動で入口や鍵を探すのを支援し、システムの弱点を加速的に発見できる。システムにSMSやアプリなどによる二要素認証が導入されていなければ、ハッカーはパスワード推測でアカウントに侵入し、さらに他のシステムに接続する可能性がある。ハッカーは企業が未修正の旧い脆弱性も狙い、関連する脆弱性や修正方法は既に公開されているため、AIは迅速に攻撃コードを作成し、更新が完了していないサイトを探索して攻撃できる。
当局が対応3策を提示 顧客への先行通知を呼びかけ
黄卓倫氏は、セキュリティ事故に遭った企業は詐欺グループより先に自ら顧客に通知すべきで、すべての調査が終わるまで対外説明を待つ必要はなく、影響の可能性がある範囲をまず確認し、流出したデータの種類を明確に伝え、会社が求めない事項、例えばATM操作による返金手続きを求めないことなどを消費者に注意喚起するとともに、関連する委託先プラットフォームにも通知し、リスク拡大を防ぐべきだと呼びかけた。企業は平時から個人情報収集の最小化原則を徹底し、業務に必要なデータのみを収集し、明確な保存期限を定め、期限後は不要な個人情報を削除し、データ管理では分離保管、暗号化およびマスキングなどの措置を講じるべきだ。セキュリティ研究院院長の龔化中氏は、第一にシステムの露出を緊急に低減し、放置または不要なシステムを一時停止し、リスクが拡大し続ける場合はすべての外部接続を一時遮断することが最も徹底した緩和策、第二に全アカウントの強制ログアウトとパスワード変更を行い、二要素認証だけに頼らないこと、第三にデータベース監視を強化し、大量の異常アクセスを発見したら直ちに警告しアクセスを遮断することを提案した。デジタル産業署副署長の黄雅萍氏は、現在影響を受けたブランドはアパレル、食品、ペット用品および生活用品などの業界に及び、事業者は3項目の対応、72時間以内の主管機関への通報と行政検査への協力、消費者への自発的通知と照会手段の提供、不審なメールやSMSへの注意や不明なリンクをクリックしないよう注意喚起、事故原因の究明と脆弱性修正の完了に協力しなければならないと述べた。