AIに自社システムを攻撃させたら1万500件の穴が見つかった話――中小企業が知っておくべき「見えない脆弱性」の脅威

「もし自分の会社のシステムを、最新のAIを使って攻撃してみたらどうなるだろうか」

経営者であれば、そんな危険そうな実験を自ら進んでやりたいとは思わないかもしれません。「今まで問題なく動いているのだから、わざわざ余計なことをして壊したくない」と考えるのが自然な感覚だと思います。

ところが、これを実際にやってみせたのがソフトバンクです。孫正義氏が講演で語った内容によると、攻撃能力を持つAIを使って自社システムの脆弱（ぜいじゃく）性を調べたところ、なんと1万500件もの穴が見つかったそうです。

私自身、20年以上ITの現場に関わってきましたが、このニュースを聞いたとき、あらためて時代の大きな変化を感じました。

1万500件の脆弱性が意味するもの

ソフトバンクといえば、通信インフラを担う日本の代表的な企業です。普通の会社とは比べものにならないほど多くの専門人材と予算をセキュリティ対策に投入しています。実際、大規模な攻撃でシステム全体が止まるような事態は長年防いできたわけですから、それなりに守れていたはずでした。

それが、AIを使って本格的に調べた途端、1万500件という膨大な穴が見つかったのです。

誤解のないように補足しておくと、「今すぐ1万500通りの方法で侵入される」という意味ではありません。脆弱性には深刻度の違いがあります。特定の条件が揃わないと悪用できないものや、調査上の誤検出が含まれている可能性もあります。ですから「ソフトバンクが今すぐ危険」という話ではありません。

本当のポイントはそこではなく、「人間による従来の確認では見つけられなかった大量の問題を、AIが短期間で暴き出した」という事実にあります。

「うちは小さいから狙われない」が通用しない理由

ひと昔前のサイバー攻撃といえば、専門知識を持ったハッカーが特定の企業を狙い、何日もかけて侵入経路を探すようなイメージでした。攻撃する側にも人件費や時間という「コスト」がかかっていたため、ターゲットになるのは知名度のある大企業や金目当ての対象が中心でした。

しかし、AIの登場によってその前提が崩れつつあります。

AIを使えば、大量のプログラムを読み込み、過去の攻撃パターンと照らし合わせ、侵入に使える穴を探す作業の多くを自動化できます。AIは休むことなく、インターネット上に存在するあらゆるシステムを自動で調べ上げます。

こうなると、犯人が1社ずつ手作業で選ぶ必要がなくなります。「知名度のある大企業だから狙う」のではなく、「無差別にスキャンして、最初に入り口が見つかった会社から狙う」ということが可能になるのです。

これまで地方の中小企業経営者の方とお話しする中で、「うちは取られるような機密情報もないし、小さい会社だから大丈夫」という声を何度も聞いてきました。しかし、攻撃が自動化されるAI時代には、会社規模の小ささは防壁になりません。

仮に自社に特別な情報がなかったとしても、請求書や見積書、顧客データ、取引先の連絡先履歴は存在するはずです。また、セキュリティが頑丈な大企業に侵入するための「踏み台」として、セキュリティの薄い取引先の中小企業が狙われる事例（サプライチェーン攻撃）も増えています。裏口として利用されてしまうリスクがあるのです。

ソフトバンクの発表では、関連企業63社にも同様のAI診断を行ったところ、脆弱性が1つも見つからなかった会社は「ゼロ」だったといいます。どの会社にも、必ず何かしらの穴が存在していたのです。

継ぎはぎのシステムと「雨漏り修理」の限界

なぜ、それほどまでに脆弱性が残ってしまうのでしょうか。理由は単純で、システムを作っているのが人間だからです。

システムは一度作って終わりではありません。事業の成長や業務の変化に合わせて、新しい機能を追加したり、新しいクラウドサービスを繋いだりしていきます。一方で、過去に作った古いプログラムや、退職した社員のアカウント、昔使っていた古い設定がそのまま残ってしまうことも少なくありません。

私自身の経験からも感じますが、長年稼働している会社のシステムは、どうしても複雑な「継ぎはぎ状態」になっていきます。古いプログラムを止めようとすると別の業務に支障が出るかもしれないため、騙し騙し使い続けるしかない――そんな現場をたくさん見てきました。

これは、築年数の経った家で「雨漏りがするたびに屋根を修理し、壁にひびが入るたびに埋める」という作業を繰り返しているようなものです。もちろん、応急処置も大切ですが、土台そのものが古くなっている場合、どこかのタイミングで根本的な見直しが必要になります。

中小企業が今日から始めるべきセキュリティの基本

では、予算も専門部署もない中小企業は、一体何から始めればいいのでしょうか。

数百万〜数千万円もするような高度なセキュリティシステムをいきなり導入する必要はありません。まずは、自社の足元を確認する「基本的な管理」から始めることが最も効果的です。

1. 自社のIT資産を把握する
   会社で使っているパソコンの台数、契約しているクラウドサービス、誰がどんなアカウント（権限）を持っているかをリスト化します。退職者のアカウントが残っていないか、管理者権限が不要な人に渡っていないかを確認するだけでも、大きなリスクを減らせます。

2. 認証を強化する（多要素認証の導入）
   IDとパスワードだけでは、流出した際に簡単に侵入されてしまいます。スマホのアプリやSMSを使った「多要素認証（2段階認証）」を設定するだけで、不正アクセスの危険性は劇的に下がります。

3. OSやソフトを最新の状態に保つ
   パソコンやスマホ、ルーターの更新通知を放置せず、常に最新のアップデートを適用します。多くのアクシデントは、既知の穴を放置していたことが原因で起こります。

4. バックアップと「戻す手順」の確認
   万が一データが暗号化されたり消されたりした際のために、バックアップを取っておきます。大切なのは「実際にそのバックアップから元通りに復元できるか」を一度試しておくことです。

5. 事態が発生したときの連絡先を決めておく
   画面が乗っ取られたり不審な動きがあった際に、「誰に連絡し、どのLANケーブルを抜くか」といった最低限のルールを紙で残しておきます。パニックになってからネットで相談先を探すのでは遅すぎます。

これらはAIのような特別な技術を使わなくても、今すぐ自社で取り組める安全対策です。

知らないまま使い続けることの恐ろしさ

今回のソフトバンクの事例で最も恐ろしいのは、システムに穴があったことそれ自体ではありません。「穴があることすら知らないまま、今まで問題なかったからと使い続けていたこと」です。

「今まで大丈夫だったから、これからも大丈夫」という経験則は、AIによって攻撃のスピードと質が変わった現代においては、通用しにくくなっています。昨日までは見つからなかった穴が、今日のAIによって発見され、明日の攻撃に使われるかもしれないからです。

1万500件という数字は、単なる大企業のニュースではありません。「自社のシステムや業務環境は、果たしてどうなっているだろうか？」と、自社の足元を見つめ直すための重要なきっかけだと捉えるべきです。

AIは攻撃の道具にもなりますが、同時に自社の守りを固めるための道具にもなります。変化の激しい時代だからこそ、むやみに恐れるのではなく、まずは自社の現状を知り、できる範囲の基本的な対策から一つずつ固めていきましょう。

CloudLabは京都・亀岡を拠点に、中小企業のIT活用・AI導入・ホームページ制作を支援しています。お気軽にご相談ください。