NCSC長官、英国の重要インフラに迫るAIランサムウェアの脅威を警告

英国の国家サイバーセキュリティセンター（NCSC）は、2028年までに、英国の重要インフラ（CNI）に対するランサムウェア攻撃でAI搭載マルウェアが使われる可能性が極めて高いと警告しました。

NCSCのリチャード・ホーン（Richard Horne）CEOは、11月3日にロンドンで開かれた同機関の年次報告書State of the Cyber Nationの発表イベントで、英国は「サイバーインシデントの件数がかつてない規模で増加する現実的な可能性」に直面していると述べました。

ホーン氏は、こうした脅威の高まりにはAIの活用が拍車をかけていると指摘しました。AIの影響は「あなたや組織がAIを活用すると決めたかどうかにかかわらず、私たち全員が実感することになる」といいます。

報告書は、金銭目的のハッカーによる英国の発電所、空港、病院へのサイバー攻撃で、AI搭載の悪意あるソフトウェアが2028年までに使われる可能性は「非常に高い」と警告しました。

さらに、ロシアや中国などの国家が、地政学的な目標を達成するため、サイバー活動でAIを日常的に使うようになるとも警告しています。

ただしホーン氏は、AIを使った脅威が本質的に新しいものを生み出したわけではないと強調しました。

迫りくるリスクは「AIが私たちを攻撃する新たな手口を発明したからではない」と同氏は主張します。「長年あまりに放置されてきた脆弱性が、かつては想像もできなかった規模で発見され、悪用されるようになったから」だというのです。

同氏は、「安上がりなテクノロジー」に頼っている組織が「あまりにも多い」と指摘しました。

ホーン氏は次のように述べています。「サポート終了済みのシステムを『あと1年だけ』と使い続ける。必要なアップグレードを『コスト効率』の名目で先送りする。テクノロジープロバイダーがセキュア・バイ・デザインやセキュア・バイ・デフォルトに投資しない。そうした事例が続いています」

「私たちは技術を導入しても、そのライフサイクル全体にわたって投資してきませんでした。アクセス権は、必要な範囲ではなく、都合のよい範囲で与えてきました。サービスは、その基盤となる技術や運用が堅牢で安全かどうかを確かめずに、価格だけで調達してきました。そして、問題が起きたときに検知するための監視体制も整えてきませんでした」

英政府、サイバーセキュリティ分野への新たな投資を発表

ホーン氏によると、最近の最も分かりやすい例がPHP2Shell脆弱性の脅威です。NCSCはこのPHPの脆弱性に対応し、英国の組織に11万件の事前通知と早期警戒アラートを出したといいます。

同氏は、英国政府が国家サイバーシールドの第1段階の開発に6,000万ポンド（8,040万ドル）を投じたという最近の発表も歓迎しました。この中には、英国のAI・サイバーセキュリティ分野のイノベーターを支援する2,500万ポンド（3,350万ドル）のチャレンジ基金と、新設の国家エクスポージャー・リアルタイム脆弱性（NERV）センター向けの7,000万ポンド（9,380万ドル）が含まれます。

10月24日に行われたこれらの発表には、AIセキュリティ研究所（AISI）への1億2,000万ポンド（1億6,080万ドル）の追加投資も含まれています。あわせて、政府内に世界最先端のAIセキュリティの専門知識を提供するため、NCSCがマンチェスターで運営する新たなAIサイバーセキュリティ・センター・オブ・エクセレンスも設立されます。

政府はまた、制御不能なAIボットを監視・対処する国家エージェント型セキュリティ部隊の設立に4,000万ポンド（5,360万ドル）を充てます。さらに、高度なAI技術で公共部門のサイバー防御を強化するため、2,400万ポンド（3,210万ドル）を投じる方針です。

こうした投資に加え、サイバーセキュリティ担当大臣のロイド男爵夫人（Baroness Lloyd）は、NCSC年次報告イベントの演説で、英国政府が零細・中小企業向けにサイバー・エッセンシャルズ認証を75％割引で提供すると発表しました。これにより、費用は80ポンド（107ドル）から125ポンド（168ドル）に下がります（別途VAT）。

政府のサイバーレジリエンス誓約には、すでに230社を超える企業が署名しました。この誓約により、参加組織はサプライチェーン上の中小企業を、無料のサイバー・エッセンシャルズ認証に紹介できるようになります。選ばれた企業は、無料のサイバーセキュリティアドバイザーによる支援も受けられます。

政府は、フォーティネット（Fortinet）、タレス（Thales）、キャップジェミニ（Capgemini）、Zscalerを含む14社を、新たなソフトウェアセキュリティ・アンバサダーに任命したことも発表しました。各社は政府と協力して安全なソフトウェア開発を推進し、「ソフトウェアセキュリティ行動規範」のいっそうの普及を促します。

英国の組織にとっての「選択の時」

ホーン氏は、英国の組織は「選択の時」を迎えていると述べ、「自らのサイバーセキュリティの現状と向き合う」よう促しました。AIのような新技術は、今後数年で、脆弱性や不備、投資不足を前例のない速さと規模で露呈させるためです。

NCSCの報告書は、英国のサイバーセキュリティが「極めて重大な」局面にあるとも指摘しました。従来型の攻撃にもAIを使ったサイバー攻撃にも対抗できるよう、組織は、すでに存在し有効性も実証されているツール、標準、フレームワークを活用すべきだとしています。

ホーン氏は演説で次のように述べました。「私たちは、あらゆる組織のリーダーが緊急性をもって投資することを自ら選び、すべての組織がセキュリティとレジリエンスを後付けではなく基本的な要件とする国になれます。その結果は、私たち全員にとって、持続的な国家の強みとなるでしょう」

同氏はさらに、こうした選択を怠れば、リーダーたちは「食料が店頭から消え、明かりが消え、企業が倒産したときに、投資家、株主、従業員、顧客、サプライヤーの目を見て説明しなければならなくなる」と述べました。

この警告は、英国政府がサイバーセキュリティ・レジリエンス法案を提出し、近く国家サイバー行動計画も発表して、国の防御を強化しようとする中で出されました。