バグバウンティをやっていた自分が、今のサイバー攻撃を見て思うこと

国内で不正アクセスや情報漏えいのニュースが相次いでいる。

これからもインターネットを安心して使っていけるのか。そんな不安を感じる人もいると思う。

自分は以前、バグバウンティに取り組んでいた。企業などが認めた範囲でシステムの脆弱性を探し、報告する仕事だ。

バグバウンティの経験から、感じていたこと

その経験から、AIが発達すると、攻撃する側と守る側の状況は大きく変わるだろうと感じていた。今回の個別の被害を予測していたわけではない。ただ、脆弱性を探す作業にAIを使っていると、この力が攻撃にも使われることは想像できた。

以前から、まだ修正されていない脆弱性を利用する「ゼロデイ攻撃」は存在していた。そのための情報や技術には高額な値段がつき、政府機関が顧客となる市場もある。脆弱性を公表して修正につなげるか、情報活動などのために非公開で保持するかという問題も、長く議論されてきた。

参考：ゼロデイ市場の調査（Atlantic Council「Crash (exploit) and burn」2025年6月）

そこにAIが入ってきた。

人が時間をかけて調べ、仮説を立て、検証していた作業の一部を、AIが繰り返し進められるようになる。もちろん、AIなら何でも見つけられるわけではない。それでも、調べられる量や速さは変わってくる。

そうなると、一部の人しか見つけられなかった弱点を、別の誰かも見つけられるようになる。

ゼロデイの値段が一律に下がるかどうかはわからない。でも、「自分たちだけが知っている」という優位性を長く保つのは、難しくなっていくのではないかと思う。

そして、攻撃する側が狙うのは、未知の脆弱性だけではない。

すでに知られているのに修正されていない弱点や、設定の不備もある。JPCERT/CCは、最近の国内の被害について、さまざまな既知の脆弱性や管理上の不備を探して悪用する動きを指摘している。AIを使った侵入テスト基盤の悪用についても注意を呼びかけている。

参考：JPCERT/CCの注意喚起（JPCERT/CC「直近で相次いでいる国内組織における不正アクセスに関する注意喚起」2026年10月23日更新）

自分が気になるのは、ここだ。

これまでは、人手や時間の都合で調べられなかったサイトまで、広く調べられるようになる。攻撃対象を探し、弱点の有無を確かめる作業が効率化されれば、狙われる範囲も広がっていく。NICTも、AIによる解析や脆弱性発見の効率化が、攻撃の広がりにつながる可能性を指摘している。

参考：NICTの注意喚起（NICT「相次ぐ情報漏えい、その原因の一つは『アプリ解析からのサーバ攻撃』」2026年10月13日）

これは、特定の国のAIだけの問題でもない。便利な道具が広く使えるようになれば、それを悪用する人も出てくる。

だから、「うちは小さいから狙われない」「今まで大丈夫だったから」という考えだけでは、安心できなくなっている。

ただ、日本のサイトは全部弱い、と言いたいわけではない。個々の被害について、外から見える情報だけで対策不足と決めつけることもできない。

自分が大きな違いだと思うのは、侵入を防ぐことに加えて、侵入された後まで考えているかどうかだ。

どれだけ対策しても、見落としや新しい脆弱性が出る可能性は残る。そこで一か所が破られても、ほかへ被害が広がりにくくする。異常に早く気づく。必要なら一部を切り離す。そして、データやサービスを戻せるようにしておく。

こうした「被害を抑え、立て直す力」が、レジリエンスだ。侵入される可能性を前提に、守りを何層にも重ねる考え方は、セキュリティ設計の中でも重視されている。

参考：Microsoftの設計指針（Microsoft「セキュリティの設計原則」Azure Well-Architected Framework）

攻撃されないことを願うだけでなく、攻撃されたときにどうするかまで準備しておく。

AIは攻撃側だけの道具ではない。守る側も、弱点を探したり、修正を進めたりするために使える。ただ、道具を入れるだけでは足りない。見つかった問題に対応し、何か起きたときに動ける仕組みが必要になる。

自分もサイトを運営する側だから、これは他人事ではない。

自分のサイトに弱点が見つかったら、どれくらい早く直せるのか。侵入されたら気づけるのか。止まったら戻せるのか。

バグバウンティをやっていた経験から、今はそのあたりを、もう一度ちゃんと確認しておきたいと思っている。