サイバー犯罪者が2,000万件のOpenAIアカウント情報を販売していると主張したが、OpenAIは自社システムが侵害された証拠はないと発表した。流出した情報は、フィッシングや情報窃取型マルウェアによる可能性が指摘されており、大規模なハッキング事件とは言い切れない。

セキュリティ企業KELAの分析によると、データの大半は過去に流出した認証情報と関連があり、OpenAIのシステム自体の脆弱性を突いたものではないとされる。しかし、漏洩した情報を悪用したフィッシング攻撃が増加する懸念がある。

この事例は、AI関連サービスの利用者が標的になりつつある現状を示している。今後もサイバー犯罪が高度化する中、個人情報の管理とセキュリティ対策の徹底が求められる。

2,000万件の認証情報流出は本物か？データの信憑性を巡る議論

今回のハッキング事件で最大の焦点となっているのは、OpenAIの認証情報とされる2,000万件のデータが実際に有効なものなのか、またどのような経路で流出したのかという点である。

セキュリティ企業KELAの分析によれば、流出したデータの多くは、過去に漏洩した情報や情報窃取型マルウェアによって収集されたものである可能性が高いとされる。同社は、OpenAIの公式認証システムである「auth0.openai.com」のログイン情報を含むデータセットを調査し、広範な漏洩データベースと照合。その結果、大部分のデータがOpenAIのシステム侵害によるものではなく、既存の流出情報を寄せ集めたものであることが示唆された。

一方で、2,000万件という膨大なデータ量や、その一部に最新のログイン情報が含まれている可能性があることから、全てが過去の漏洩データとは言い切れない。この点について、サイバーセキュリティの専門家は、特定のフィッシング攻撃や、感染したデバイスから収集された情報が含まれている可能性を指摘している。

このように、現時点ではデータの出所や正確性に疑問が残るものの、少なくともOpenAIのシステムが直接侵害された証拠はない。ユーザーは、流出した情報の信憑性にかかわらず、セキュリティ対策を強化する必要がある。

サイバー犯罪の新たな潮流、AI関連サービスへの攻撃が増加

今回の事例は、AI関連サービスがサイバー犯罪の新たなターゲットとなっていることを示唆している。近年、クラウドベースのAIツールや生成AIの普及に伴い、ユーザーのログイン情報やAPIキーが標的にされるケースが増えている。

AI技術を提供する企業は、一般的なクラウドサービスとは異なり、機密性の高いデータや知的財産を扱うことが多い。特に、企業がAIツールを業務に組み込むケースが増えており、その結果、認証情報の価値が高まっている。攻撃者は、流出したアカウント情報を悪用し、企業のプロンプトデータや内部機密情報を盗み出す可能性がある。

実際、過去にもChatGPTのアカウント情報が闇市場で販売されるケースが確認されている。これらの情報は、主に情報窃取型マルウェアによって取得されたものであり、感染したデバイスのログインデータがそのまま流出する形で売買されている。今回の2,000万件の認証情報も、こうした手法で収集された可能性がある。

AIサービスの利用者にとって、こうした攻撃の増加は重大なリスクとなる。特に、企業がAIツールを導入する際には、アクセス管理の強化や、定期的なパスワード変更、二要素認証の導入が不可欠だ。サイバー犯罪の手口が進化する中、ユーザー自身がセキュリティ意識を高めることが求められる。

今後のリスクと企業・個人が取るべき対策

この事件を受け、OpenAIの認証情報に限らず、クラウドサービス全体のアカウントセキュリティが再び注目されている。特に、生成AIの普及に伴い、今後もAI関連サービスの認証情報を狙ったサイバー攻撃が増加する可能性がある。

個人レベルでは、二要素認証（2FA）の導入やパスワードマネージャーの活用、定期的なパスワード変更が基本的な対策となる。また、フィッシング攻撃の手口は巧妙化しており、不審なメールやメッセージに対する警戒が必要だ。

企業にとっては、AIツールの導入に際し、アクセス管理の強化や従業員へのセキュリティ教育が不可欠となる。特に、クラウド環境でAIを運用する場合、ログイン情報の適切な管理が求められる。さらに、ゼロトラストセキュリティの概念を取り入れ、不正アクセスを防ぐ仕組みを構築することが重要だ。

サイバー攻撃の対象は従来の金融機関や政府機関から、AIやクラウドサービスへと広がっている。今後も、企業や個人のデジタル資産を守るためには、最新のセキュリティ対策を積極的に導入し、常に警戒を怠らないことが求められる。

Source：TechRadar