複合インターネットカフェ「快活CLUB」の公式アプリをめぐり、サイバー攻撃を行った疑いで18歳の会社員の男が逮捕された。捜査関係者によると、攻撃により同社が管理する会員情報約725万件が不正に取得されたとみられており、このうち約300万件分をこの男が集めた疑いが持たれている。警視庁が攻撃の経緯や被害の実態を詳しく調べている。
事案の詳細
報道によると、警視庁サイバー犯罪対策課は、複合カフェ「快活CLUB」の運営会社「快活フロンティア」（横浜市）が管理する公式アプリのシステムがサイバー攻撃を受けた事件に関連し、偽計業務妨害と不正アクセス禁止法違反の容疑で東京都葛飾区の会社員の男（18）を逮捕した。逮捕日は7月8日で、男は事件当時高校2年生だったとされる。
捜査関係者によれば、男は仲間と共謀し、昨年1月18日から20日にかけて同社の公式アプリのサーバーに対し、会員情報を取得する不正な指令を繰り返し送信した疑いがある。送信された不正な指令は724万回以上に上るとみられており、その過程で会員情報約725万件が窃取された可能性が指摘されている。男はこのうち約300万件分の会員情報を自身で集めたとみられている一方、「183回もやった記憶はない」などと一部容疑を否認していると報じられている。
攻撃には、同事件で昨年12月に逮捕された大阪市の男子高校生が、対話型生成AI「ChatGPT」を悪用して作成した会員情報取得プログラムが用いられた。このプログラムはSNS「Discord」のグループ内で共有されていたとされ、同じグループには当時小学6年生だった少年も含まれており、複数の若年層が攻撃に関与していた可能性が捜査で探られている。
このサイバー攻撃により、公式アプリの機能の一部が停止されるなどの対応を余儀なくされ、同社の業務が妨害されたとされる。現時点で、攻撃で具体的にどの機能が停止したのか、また利用者にどのような影響が及んだのかについては、詳細を断定できるだけの公表情報は確認できない。捜査当局は、容疑の内容や攻撃の結果生じた影響について、今後の捜査を通じて明らかにしていくものとみられる。
影響と背景
今回の事案は、身近な複合カフェサービスの公式アプリがサイバー攻撃の対象となり、会員情報約725万件という大量の個人情報が不正取得されたとみられる点で大きな影響を持つ。不正な指令は「724万回以上」送信されたと報じられており、短期間に集中的かつ自動的な不正アクセスが試みられた可能性が高い。
報道では、攻撃に用いられたプログラムが生成AI「ChatGPT」を使って作成され、SNS「Discord」で共有されていたことが伝えられている。これにより、専門的なプログラミング知識が限定的であっても、AIツールとオンラインコミュニティを通じて高度な攻撃手法が容易に手に入り、若年層によるサイバー犯罪への関与が拡大する懸念が指摘されている。
一方で、情報が不正取得された会員に対して具体的にどのような二次被害が発生しているのか（不正ログインやなりすまし、他サービスへの転用など）、サービス停止の時間や範囲、情報漏えいに伴う公表・通知の詳細などは、現時点で公になっている情報からは確認できず、詳細は現時点で不明である。社会的な影響の評価は、捜査の進展や事業者による追加の公表を待つ必要がある。
対策・今後の展望
捜査当局は逮捕した男の関与の度合いや、SNS上でつながった複数のメンバーによる攻撃の全容解明を進めているとみられる。生成AIを悪用して開発されたプログラムがサイバー攻撃に利用された点や、Discordなどオンラインコミュニティを通じて小学生を含む若年層が犯罪に巻き込まれた可能性がある点についても、背景事情の解明が求められている。
事業者側の具体的対応や、被害公表の詳細、会員への通知・説明内容については公表情報が限られており、詳細は現時点で不明である。しかし、同様のサイバー攻撃が疑われる事案に直面した場合、一般に求められる対応としては次のような点が挙げられる。
- 事実関係の迅速な確認：アクセスログ等を精査し、攻撃の有無、発生時刻、回数、不正な指令の内容、対象範囲を把握する。
- 影響範囲の特定：サービス影響や情報流出の有無・範囲、会員情報の不正利用状況など、利用者・取引先への影響を確認する。
- 関係機関との連携：捜査当局を含む関係機関に相談し、必要な情報提供と証拠保全を行うとともに、必要に応じて関係当局への報告や届出を行う。
- 再発防止の検討：原因と攻撃経路の特定後、認証・権限管理の強化、アプリやAPIの実装見直し、監視体制の強化など、同種の攻撃への備えを技術面・運用面の両方から強化する。