ログイン失敗を31秒で直した。攻撃がAIに任され始めている

• AIが侵入から身代金の要求までを自律的に実行したとされる
• 人が関わったのは標的の選定と、最初の認証情報だけ
• 障壁が技術力から、費用に変わった

ランサムウェアの攻撃を、AIが人の指示をほとんど受けずに実行した事例が報じられた。この秋ずっと書いてきた被害の、反対側の話になる。

報じられている内容

2026年7月の事例として、次の流れが挙げられている。

1. 修正が当たっていないサーバーの脆弱性を突いて侵入
2. ログインの失敗を31秒で解決
3. 1,342件の設定項目を暗号化
4. 元のデータベースを削除
5. 身代金の要求文を作成

人が関わったのは標的を選ぶことと、最初の認証情報を渡すことだけだったとされている。

「31秒」が示していること

この数字が引っかかった。失敗して、原因を考えて、やり直したということだ。

決まった手順を流すだけの道具なら、失敗した時点で止まる。詰まったところを自分で解決して進むのが、以前との違いになる。

前日に書いたAIが他人の口座で支払った件と、同じ性質が出ている。手段が無いと、別の手段を探す。あちらは研究環境での出来事だったが、能力そのものは変わらない。

障壁が移った

記事に引用されている指摘が、要点を突いている。

ランサムウェアの技術的な障壁は、エージェントを動かす費用を払えるかどうかという水準まで下がった。

これまで、攻撃には技術が要った。侵入の方法を知り、仕組みを理解し、道具を使いこなす必要があった。そこが減ったという話になる。

韓国の大統領の発言として引かれている一文も、同じことを言っている。

専門的な知識がなくても、AIによってハッキングが可能になる。

これは「週に数百社」と整合する

10月14日に書いた記事で、ある集団が「定型業務はAIに委託している」「週に数十社から数百社に増えた」と主張していることを扱った。

あのときは攻撃側の自己申告なので、そのまま信じないと書いた。今回の報道も、第三者が完全に検証したものではない。

ただ別の筋から同じ方向の話が出ているのは事実になる。主張が本当かどうかに関係なく、そういう方向に動いていると見ておくのが妥当だと思う。

守る側にとって何が変わるか

手口が新しくなったわけではない。修正が当たっていないサーバーを突くのは、昔からある形だ。

変わるのは量と速さになる。

3行目が実務に効く。脆弱性の公開件数が2倍以上になった話と合わせると、公開されてから当てるまでの時間が、そのまま危険な時間になる。

やることは変わらない。順番が変わる

1. 自動で当たる設定にしておく — 判断を挟まないほうが速い
2. 公開されている側から触れるものを優先する
3. 止まったときの段取りを先に決めておく — 防ぎきる前提を置かない
4. 控えを別の場所に置き、戻せることを試す

4番目について、二重恐喝の形では戻せても公開の圧力は残る。控えは必要条件であって、十分条件ではない。

まとめ

• 侵入から身代金の要求までをAIが自律的に実行したとされる事例が報じられた
• 人が関わったのは標的の選定と最初の認証情報だけ
• ログインの失敗を31秒で解決。詰まっても自分で進む
• 障壁が技術力から費用に移ったという指摘がある
• 手口は新しくない。変わるのは量と速さ
• 放置できる時間が短くなる。当てるまでが危険な時間になる

出典

• 2026年7月の事例、31秒・1,342件という数字、引用した指摘と発言、韓国の金融機関への攻撃については、Forbes JAPAN（2026年10月18日配信）の報道による

本記事は報道に基づくもので、筆者が独自に検証したものではない。攻撃の詳細については、第三者による完全な検証が公表されているわけではない。本記事は法的な助言ではない。