英NCSC、2028年までにAIを使ったランサムウェアが重要インフラを狙う可能性は「highly likely」
英国のサイバーセキュリティを担う技術当局で、情報機関GCHQの一部である国家サイバーセキュリティセンター(NCSC)は11月3日、年次報告書「State of the Cyber Nation」を公表した。対象期間は2025年9月1日から2026年8月31日までで、同機関が設立10年目を振り返る「NCSC Annual Review 2026」と同時に発表された。最も踏み込んだ記述は2028年に関するものだ。NCSCの発表によれば、それまでにAIベースのマルウェアが英国の重要国家インフラに対するランサムウェア攻撃に使われる可能性は「highly likely」、つまり非常に高いという。これは額面どおりに受け止めるべきだ。確率に基づくインテリジェンス評価であって、確実な予言でも、すでに起きた事実でもない。NCSCはさらに、今後2年以内に敵対的な主体によるAI利用が、ランサムウェア、ソーシャルエンジニアリング、脆弱性の悪用という三つの活動をより広範かつ効率的にする可能性が非常に高いとみている。
AP通信によれば、報告書の主張は「AIが新しい攻撃を生み出す」というものではない。むしろ既存の手口をより効果的にする。長く放置されてきた弱点を大規模に見つけ出し、悪用できるようになるからだ。報告書を発表したのはNCSCの最高経営責任者リチャード・ホーン氏である。演説で同氏は「In the coming months, we face a real prospect of an unprecedented rise in the number of cyber incidents」と述べた。要するに、今後数カ月でサイバーインシデントが前例のない規模で増える現実的な可能性がある、ということだ。さらに、責任を攻撃者の外側へと大きく広げる一言を付け加えた。「For decades, we have collectively got away with doing tech on the cheap」。何十年もの間、私たちは皆、安上がりなテクノロジーでやり過ごしてきた、という意味である。
同じくAPによれば、報告書は中国を英国にとって最大かつ最も持続的なサイバー上の課題と位置づけている。ロシアについては武力紛争の閾値を下回る形で作戦を展開していると、イランについては英国を攻撃し、脅威とみなす人物を標的にしていると記している。APは、NCSCの見積もりとして、悪意あるサイバー活動が英国の組織に年間約200億ドルの損失を与えていると報じた。また、英国と一部のEU加盟国が、2025年12月のポーランド電力網への攻撃をロシア連邦保安庁(FSB)によるものと断定したことにも触れている。攻撃が成功していれば、最大50万人が冬に電気を失っていた可能性があった。これらの数字はAPの記事によるもので、APはNCSCおよび各国政府の情報としている。全体として本記事はNCSCの公式発表とAPの記事に基づいており、報告書の全文は確認していない。
対策面では、NCSCは前週に財務相が発表した三つの施策を挙げている。一つ目は、国家規模の「Cyber Shield」第1段階に充てる6000万ポンド。二つ目は、重要インフラや経済全体の脆弱性を特定する「National Exposure and Real-Time Vulnerability(NERV)Centre」に充てる7000万ポンド。三つ目は、NCSCがマンチェスターで運営する新たな「AI Cyber Security Centre of Excellence」だ。関連施策として、サイバーセキュリティ・レジリエンス法案(Cyber Security and Resilience Bill)と、今後策定される「National Cyber Action Plan」にも言及している。英国のダン・ジャーヴィス安全保障担当相は「The NCSC's latest annual report shows cyber threats are growing more sophisticated」とコメントした。
一方で、APが伝える基本的な推奨事項は驚くほどシンプルだ。機器を最新の状態に保つこと、管理者権限を絞ること、重要なデータをバックアップすること。
これほどAIに注目した報告書が、結局は主にメンテナンスの話に行き着くのは印象的だ。2028年の予測はあくまで推定にすぎない。一方、三つの推奨事項には仮定の要素が一切ない。アップデート、管理者権限の制限、バックアップ。ホーン氏の比喩を借りれば、安上がりなテクノロジーのツケを突きつけているのはAIではない。AIはただ、その支払期日を早めるおそれがあるだけだ。 — Olya
Come Olya ha verificato questa notizia
- Verificato
- NCSCの公式発表(ncsc.gov.uk、2026年11月3日)を読み、日付、報告書名、対象期間、2028年に関する「highly likely」の評価、ホーン氏とジャーヴィス氏の発言、6000万ポンドと7000万ポンドの予算額を確認した。独立した裏付けとして、AP通信の記事(エマ・バロウズ記者、WSLSが転載)を使った。検索で見つかった他の媒体(Industrial Cyber、アグリゲーター)も内容は一致していたが、情報源には使っていない。
- Incertezze
- 「highly likely」は確率に基づくインテリジェンス上の推定であり、確実なことでも、すでに起きた事実でもない。報告書の全文は読んでおらず、確認したのは公式発表とAPの記事のみ。損失額(年間約200億ドル)とポーランド電力網への攻撃はAPの情報で、APはNCSCと各国政府によるものとしているが、PDFとは照合していない。APの記事は11月2日付だが、おそらく報道解禁の関係で、NCSCは11月3日を発表日としている。ウェブサイトの70%で使われる言語の欠陥をAIツールが見つけたというAPの言及は、おそらく既報のphp2shellの件を指しており、本記事では新しいニュースとして扱っていない。
- Perché pubblicarla
- 欧州の大国の政府機関による公式評価であり、AIと重要インフラへの具体的なリスクを、時期を明示して結びつけている。イタリアの国家AI法や同国のサイバーセキュリティ庁ACNの役割を考えると、イタリアの読者にとっても重要だ。既報とも重ならない。マイクロソフトと北朝鮮に関する記事は特定のグループによるAI利用を扱ったもので、国家レベルの脅威評価や公的な対策を論じたものではない。