最近、情報漏えいのニュースをよく目にする。
実は僕の職場でも、委託先の事業者で情報漏えいが発生し、話題になったことがある。
そこで気になった。
情報漏えいって、日本だけで起きている問題なのか？
犯人はどんな人間なのか？
中国やロシアなど、国が関係しているケースもあるのか？
今回は、そんな疑問をAIひろゆきさんにぶつけてみた。
専門家ではない僕が、素朴な疑問を一つずつ聞いていく。
そもそも情報漏えいは日本だけの問題？
僕：
最近、情報漏えいがすごく多い気がするんだけど、これは日本だけの問題なの？世界でも同じように起きているの？
AIひろゆき：
もちろん世界中で起きていますよ。
むしろ、サイバー攻撃や情報漏えいは国境を越えた問題です。
例えば、アメリカの通信会社Verizonが公表した「2025年データ侵害調査報告書」では、139か国で発生した22,000件以上のセキュリティインシデントを分析しています。
そのうち、確認された情報漏えいは12,195件。
さらに注目したいのが、第三者が関係する情報漏えいの割合です。
前年の約15％から30％に増加しています。
つまり、自分の会社だけをしっかり守っていても、取引先や委託先が攻撃されれば、情報が漏れてしまう可能性があるということです。
僕：
なるほど。自分のところが安全でも、仕事を委託している会社から漏れることもあるわけだ。
AIひろゆき：
そういうことです。
セキュリティ対策は、自分の会社だけで完結しないんですよね。
情報を盗んでいるのは誰？
僕：
そもそも情報を盗んでいるのは誰なの？やっぱり中国系の人たちが多いの？
AIひろゆき：
一口にハッカーといっても、いろいろなタイプがいます。
大きく分けると、次のような人たちですね。
- 金銭目的の犯罪グループ： 情報を盗んで売ったり、身代金を要求したりする
- 国家が関係するグループ： 他国の情報収集や政治・軍事目的で活動する
- ハクティビスト： 政治的・社会的な主張を目的に攻撃する
- 内部関係者： 従業員など、組織の内部にいる人が情報を持ち出す
中国、ロシア、北朝鮮、イランなどを背景とするサイバー活動が各国から指摘されているのは事実です。
ただし、すべての攻撃を特定の国の人間が行っているわけではありません。
僕：
国家が関係していることもあるんだね。普通の犯罪とは規模が違いそうだ。
サイバー攻撃は防げないの？
僕：
これだけ世界中で攻撃されているなら、もう防ぐのは難しいんじゃない？
AIひろゆき：
完全に防ぐのは難しいですね。
ただし、被害を減らすことはできます。
例えば、
- 必要以上に個人情報を集めない、保管しない
- 委託先のセキュリティ対策を確認する
- 多要素認証を導入する
- アクセスできる人や情報を必要最小限にする
- 不審なアクセスを監視する
- 情報漏えいが起きたときの対応手順を決めておく
こういった対策が重要です。
特に、委託先の管理は見落とされがちです。
僕：
AIで怪しいアクセスを見つけたりすることもできるの？
AIひろゆき：
できます。
普段とは違う時間帯のアクセスや、大量のデータ転送などをAIで分析して、異常を検知する仕組みがあります。
ただし、AIに任せれば全部解決するわけではありません。
AIが異常を見つけても、最終的な判断や対応は人間が行う必要があります。
犯人は捕まるの？
僕：
ところで、こういう攻撃をする犯人って捕まるの？
AIひろゆき：
捕まることもあります。ただ、簡単ではありません。
サイバー攻撃では、犯人が自分のIPアドレスを隠したり、他人のサーバーを経由したりすることがあります。
そのため、攻撃の痕跡が見つかっても、すぐに犯人の身元が分かるわけではありません。
さらに、犯人が海外にいる場合は、捜査や身柄の確保に国際的な協力が必要になります。
僕：
じゃあ、犯人を特定すること自体が難しいんだね。
AIひろゆき：
そうですね。
ただし、犯人が使ったサーバーや資金の流れなどを調べることで、攻撃グループを特定できる場合もあります。
犯行グループを特定することと、実際に逮捕することは別の問題なんです。
国が関係している攻撃もあるの？
僕：
中国やロシア、北朝鮮などが関係している攻撃って、実際に確認されているの？
AIひろゆき：
はい。政府機関などが、特定のサイバー攻撃について国家を背景とするグループの活動だと公表している事例があります。
日本でも、2024年に発生したDMM Bitcoinの暗号資産流出事件があります。
警察庁は、FBIなどと共同で、北朝鮮を背景とする攻撃グループ「TraderTraitor」による犯行と特定したと発表しました。
被害額は約482億円相当です。
これは単なる個人情報の漏えいとは違いますが、国家を背景とするサイバー攻撃が日本にも及んでいることを示す事例ですね。
僕：
北朝鮮が関係していると特定できたのに、盗まれたお金は戻ってくるの？
AIひろゆき：
犯人やグループを特定できても、盗まれた資産を回収できるとは限りません。
資金が複数のウォレットや海外のサービスを経由して移動すると、追跡や回収が難しくなります。
犯人を特定することと、被害を取り戻すことは別なんですよね。
国家が関係していたら責任を取らせられる？
僕：
でも、国が関係している攻撃なら、その国に責任を取らせることはできないの？
AIひろゆき：
国際法上、国家に責任を問う考え方はあります。
ただし、攻撃を実行したグループと、その国の政府がどこまで関係していたのかを証明する必要があります。
また、国家間の問題になると、外交交渉や経済制裁などが中心になることもあります。
国際社会には国連などの仕組みがありますが、世界中の国に対して強制的に捜査や逮捕を実行できる警察のような組織があるわけではありません。
僕：
結局、アメリカや中国、ロシアみたいな大国が相手だと、簡単には責任を取らせられないんじゃない？
AIひろゆき：
そうですね。
特に国連安全保障理事会では、常任理事国に拒否権があります。
大国同士の利害が対立すると、国際社会として一致した対応を取ることが難しくなる場合があります。
僕：
常任理事国の制度って、今の時代にはちょっと無理がある気がするね。
AIひろゆき：
その批判は以前からあります。
ただ、国連ができた当時は、第二次世界大戦の主要国を国際秩序の中に参加させるために、常任理事国制度が設けられました。
大国を排除して国連そのものが機能しなくなるより、拒否権を認めてでも参加させるという考え方だったわけです。
とはいえ、現在の国際情勢に合っているのかという問題は残っていますね。
日本はサイバー攻撃に反撃できるの？
僕：
じゃあ、日本が中国やロシアから大規模なサイバー攻撃を受けた場合、反撃することはできるの？
AIひろゆき：
日本も対策を強化しています。
2025年5月には、サイバー対処能力強化法と関連する整備法が成立しました。
そして2026年10月1日には、官民連携の強化や、一定のサイバー攻撃に対する「アクセス・無害化措置」に関する規定が施行されています。
これは、攻撃を受けてから被害を確認するだけではなく、重大な被害を防ぐために、攻撃に使われているサーバーなどに対処する仕組みを整えるものです。
ただし、何でも自由に攻撃し返してよいという制度ではありません。
僕：
なるほど。日本も何もできないわけではないんだね。
AIひろゆき：
そうですね。
ただし、サイバー攻撃への対処と、相手国に対する軍事的な反撃は別の話です。
どのような状況で、どのような措置が認められるのかは、法律や国際法に基づいて判断されます。
サイバー攻撃が強い国はどこ？
僕：
最後に、サイバー攻撃が強い国のランキングってあるの？
AIひろゆき：
あります。ただし、何を基準にするかによって順位が変わります。
例えば、ハーバード大学ケネディスクールのベルファーセンターが公表した「National Cyber Power Index 2022」では、アメリカ、中国、ロシアが上位に位置しています。
一方、ローウィー研究所の「Asia Power Index 2025」では、サイバー能力について専門家の評価をもとに、次の順位を公表しています。
| 順位 | 国 |
|---|---|
| 1位 | アメリカ |
| 2位 | 中国 |
| 3位 | ロシア |
| 4位 | 北朝鮮 |
| 5位 | オーストラリア |
| 6位 | シンガポール |
| 7位 | 韓国 |
| 8位 | 台湾 |
| 9位 | 日本 |
| 10位 | インド |
このランキングは、攻撃能力だけでなく防御能力も含めた評価です。
つまり、単純に「ハッキングが強い国ランキング」というわけではありません。
僕：
日本は9位か。思ったより上なんだね。
AIひろゆき：
そうですね。
ただし、これはアジア太平洋地域を対象にしたランキングです。
世界全体を対象にしたランキングとは違いますし、調査年や評価方法によっても順位は変わります。
ちなみに、国際電気通信連合（ITU）の2024年版「Global Cybersecurity Index」では、日本は最上位のTier 1に分類されています。
こちらは攻撃能力のランキングではなく、各国のサイバーセキュリティ対策や取り組みを評価したものです。
つまり、日本は防御面でも一定の評価を受けているということですね。
今回、情報漏えいについて調べてみて
最初は、単純に「情報漏えいって日本だけの問題なのかな？」という疑問だった。
でも、AIひろゆきさんに質問していくうちに、思っていた以上に根が深い問題だと分かった。
- 情報漏えいは世界中で発生している
- 委託先や取引先が原因になることもある
- 金銭目的の犯罪グループだけでなく、国家が関係する攻撃もある
- 犯人を特定できても、逮捕や被害回復につながるとは限らない
- 日本もサイバー攻撃への対処能力を強化している
特に印象に残ったのは、自分の組織だけを守っていても、委託先が攻撃されれば情報が漏れる可能性があるという点だ。
これは、実際に職場で委託先の情報漏えいが話題になったからこそ、身近な問題として感じた。
インターネットが生活に欠かせないものになった今、情報を守ることは、企業や行政だけでなく、僕たち一人ひとりにも関係する問題なんだと思う。
AIひろゆきさん、今回も勉強になりました。
次はどんな疑問をぶつけてみようかな。
