企業への不正アクセスが相次ぐ中、ソフトウエアなどの脆弱（ぜいじゃく）性が公表されてからサイバー攻撃の被害が発生するまでの時間が急速に短くなっていることが、横浜国立大の研究グループの調査で分かった。２０２４年に比べ、今年は約４分の１となる１カ月程度に短縮。攻撃に備える「猶予」も乏しくなっている。
グループの吉岡克成教授によると、サイバー攻撃の加速化は生成ＡＩ（人工知能）の普及期と重なっており、「ＡＩの影響が大きいのではないか」と指摘している。
ソフトやアプリケーションの開発企業は、ユーザーに注意を促すため、脆弱性を発見すると修正策などを用意した上で公表するのが通例だ。グループは「ハニーポット」と呼ばれる独自のおとりシステムを使い、脆弱性の公表から、脆弱性を狙った攻撃を確認するまでの期間（中央値）を調査。その結果、２４年は１４１日かかっていたが、２５年は９１日、２６年は３５日に短くなっていた。
吉岡教授によると、生成ＡＩの活用で攻撃プログラムの作成などが効率化された可能性があるという。実際、おとりシステムに届く攻撃プログラムからも、生成ＡＩに特徴的なコードの「癖」が確認された。
また、攻撃の「分業化」が進んでいるとも指摘。闇市場では、盗んだデータだけでなく、企業ネットワークへの侵入口の情報自体を売買するブローカーも存在しており、「侵入」「情報窃取・暗号化」「恐喝・交渉」といった役割の分担が、攻撃の効率化や参入障壁の低下につながっている可能性があるとみている。
企業側の対策について、吉岡教授はまず既知の脆弱性を確実に修正することが必要だと強調。その上で、侵入に備えて重要情報まで容易に到達できないようネットワークを分離したり、対応手順を事前に整えたりすることが重要だと話す。「やられたら全てが終わりという『ゼロかイチか』の世界ではない」として、侵入後でも被害を最小限に抑える対応を進めるよう促している。
〔写真説明〕吉岡克成 横浜国立大教授（本人提供）