岩井コスモ証券（大阪市）のネット取引システムがサイバー攻撃を受け、顧客の意図しない株式売買が成立した。昨年に頻発した証券口座の乗っ取りとは異なり、今回は取引システム自体の弱点を突かれ、不正注文に至った。生成人工知能（AI）を活用した攻撃ツールの普及で、企業のサイバー対策は警戒のステージが上がっている。
14日、ネット取引システムを提供するトレードワークスが、管理機能の設定不備を突かれ、7口座で不正注文が発生し、5口座で約定した。岩井コスモの社員らが数十分程度で不審な取引に気づき、トレードワークスに連絡。攻撃経路を遮断して被害拡大を防いだ。同社は「生成AIを活用した総当たり攻撃の可能性が高い」と説明する。約5000人分の個人情報も流出した。
昨年起きた約1万件の証券口座の不正取引は、盗んだIDやパスワードを使うなりすましが中心だった。各社は複数の手段で本人確認する「多要素認証」を強化していたが、今回はシステムの弱点を突かれて注文が発生した。従来の本人確認対策だけでは防げない攻撃への備えが問われる。
攻撃増加の背景の一つが、AI侵入テストツールの普及だ。本来はシステムの安全性を調べるものだが、生成AIを活用して弱点の探索から侵入の試行まで自動化できるため、攻撃に悪用されている。
VLCセキュリティの中本有哉・最高情報セキュリティー責任者（CISO）は「攻撃手法は以前と変わっていないが、（システムの）穴を見つけてから攻撃に移るまでが格段に早くなった」と指摘。百数十万円程度の機材で攻撃用ツールとAIを動かせるといい、「高度な技術がなくても、たとえば、少し勉強した大学生が攻撃できる時代になった」と危惧する。
攻撃が高速化する中、企業側には素早い異常検知と、システムの脆弱（ぜいじゃく）性を放置しない継続的な管理が欠かせない。岩井コスモは「検知能力を高める必要がある」と説明。中本氏も「基本的な対策を見直し、穴を確実に埋めていくことが重要だ」と訴える。（桑島浩任）
