2026年7月6日、バンダイナムコフィルムワークスが運営する動画配信サービス「バンダイチャンネル」への不正アクセス事件で、埼玉県内の高校1年の少年が偽計業務妨害の疑いで逮捕された。
少年は生成AI「ChatGPT」を使って自作したプログラムで、4万6000人余りのアカウントを勝手に退会処理させ、運営会社に全サービスの一時停止という対応を取らせた。
ほぼ同じタイミングで、類似の事件も動いた。複合カフェ「快活CLUB」の運営会社へのサイバー攻撃事件で、警視庁は7月8日、東京都に住む18歳の男を逮捕した。
こちらの事件では、25年12月に偽計業務妨害・不正アクセス禁止法違反の疑いで逮捕された大阪市の男子高校生がChatGPTを使って作成したプログラムを再利用したことが明らかになっている。
2つの事件には「生成AIで作られた攻撃ツール」「10代による犯行」という共通点があり、さらにSNSによって攻撃ツールが共有された事態も明らかとなった。
バンダイチャンネル事件の経緯
まずは、バンダイチャンネルの事件の詳細から説明する。報道によると、埼玉県在住の高校1年の少年は25年11月4日、バンダイナムコフィルムワークスのサーバーにサイバー攻撃を行い、4万6000人余りのアカウントを登録者本人の意図に反して退会処理させた。
運営会社のバンダイナムコフィルムワークスは同年11月6日、一部会員が意図せず退会処理される不具合を確認し、個人情報漏洩の可能性もあるとして、緊急措置として全サービスを一時停止した。
同社は11月19日付の公式発表で、漏洩のおそれがある個人情報として、メールアドレス、ニックネーム、バンダイナムココイン残高情報、会員が選択した支払い方法の4項目を挙げ、ログインパスワードやクレジットカード番号など不正決済に直結する情報は含まれていないと説明した。
その後、最大136.6万件のデータが漏洩した可能性があると公表された。サービス停止期間中の利用料金については返金対応が取られている。
警視庁サイバー犯罪対策課は通信記録などの捜査を進める中で少年が浮上し、26年6月13日、まず不正アクセス禁止法違反の疑いで逮捕した。この時点で少年は捜査員に対し、「通信解析をしていたら、偶然会員情報が見えた」と説明していたという。その後、偽計業務妨害の疑いで7月6日までに再逮捕された。
少年は会員のIDとパスワードがなくてもサイト上からログインできる方法を見つけたのち、ChatGPTを使って自作したプログラムで退会処理ページに侵入した。被害に気づいた同社がアクセス遮断などの対策を取った後も、少年は約30回にわたり自身の接続元IPアドレスを変更しながら退会処理を続けていたという。
少年の通信履歴からは、会員のメールアドレスや支払い方法、ニックネームなどを入手するプログラムを実行した形跡も見つかっているが、悪用された形跡はないとのことだ。少年は小学4年の頃からパソコンを使い始め、独学でプログラミングを学んでいたとみられている。
立て続けに発生した快活CLUBへの攻撃
快活CLUBへの攻撃は2件ある。報道によると、1つ目は25年1月に発生した。25年1月18日から20日にかけて、「快活CLUB」の運営会社「快活フロンティア」のサーバーに対し、会員情報を取得する不正な指令が720万回以上送信され、公式アプリの機能の一部が停止に追い込まれた。
同社は1月18日夕刻にサーバーへの不正アクセスを検知し、直ちにネットワークを切り離す対応を取った。
1月28日の続報で、漏洩の可能性がある個人情報の件数が729万87件にのぼることが明らかにされた。対象となった項目は、姓名、住所、会員番号などで、身分証明書情報やクレジットカード情報などは対象に含まれていないとされた。
この事件では25年12月、大阪市の男子高校生が偽計業務妨害・不正アクセス禁止法違反の疑いで逮捕されている。少年は「システムの脆弱性を見つけるのが楽しかった」と供述しており、小学生の頃から独学でプログラミングを学び、サイバーセキュリティの技術を競う大会で入賞した経験もあったという。
ChatGPTから直接的な表現を避けて回答を引き出す形でプログラムを自作、修正していたとみられ、また、SNS上で攻撃を予告したり、攻撃が成功した様子を実況したりしていたことも報じられている。
そしてこのプログラムが、新たな事件を生む。26年7月8日、警視庁サイバー犯罪対策課は新たに東京都在住の18歳の会社員の男を、偽計業務妨害と不正アクセス禁止法違反の疑いで逮捕した。男は事件当時、高校2年生だった。取り調べに対しては「高度なプログラム内容にひかれた」と供述する一方、偽計業務妨害については関与を一部否認しているという。
捜査関係者によれば、攻撃に使われたプログラムは、先に逮捕された大阪市の少年がChatGPTを使って作成したものであり、SNS「Discord」上のコミュニティで公開、共有されていたという。
先に逮捕された大阪市の少年も、今回の東京都の男も、「小学生の頃から独学でプログラミングを学び」「サイバーセキュリティの技術を競う大会で入賞歴がある」という、ほぼ重なる経歴を持っている。警視庁は、このグループには当時小学6年生だった少年も含まれ、攻撃に加わっていたとみて背景を調べている。
生成AIの進化とともに攻撃者像も変化している
生成AIが普及したことで、サイバー攻撃の技術的なハードルが下がっていることは間違いない。自分には書けないプログラムを生成したり、実行速度を速めるためのプログラム書き換えなど、さまざまな用途に生成AIが活用できる。
今回の件に関しても、AIという技術そのものの是非ではなく、技術に触れる一人ひとりが、何のためにそれを使い、どこまでなら許されるのかというリテラシーの問題だ。
また、バンダイチャンネルの事件は単独の人物による犯行だったが、快活CLUBの事件では、1人が作ったツールがSNSのコミュニティを通じて複数人の手に渡り、実行者の数を増やしてしまった。
もっとも、この構造自体は目新しいものではない。1990年代後半から、他人が作ったクラッキングツールをそのまま使って攻撃を行う者を指す「スクリプトキディ」という言葉が存在し、当時からアンダーグラウンドの掲示板などを通じてツールが配布される構図はあった。しかし今回は、Discordのような一般的な招待制コミュニティで公開された点が異なる。
また、サイバー犯罪の低年齢化もある。警察庁のまとめで、昨年1年間に不正アクセス禁止法違反容疑で摘発された248人のうち81人、割合にして32％が10代だったという。また、不正アクセス禁止法違反における少年の検挙人員、および全体に占める割合はともに近年増加傾向にある。
動機の予測をしにくい未成年…対策は？
こうした事件を踏まえ、企業としてはどのような取り組みをすべきだろうか。
まず「攻撃者像」そのものが変わりつつあるという前提に立つことだ。生成AIが自作プログラムの完成度を上げ、SNSのクローズドなコミュニティがそのツールを複数人に届ける。「脆弱性を見つけられる人間はごく少数」という前提の上に成り立っていた防御は、その前提自体が崩れつつある。
しかも実行者の中心が未成年であることは、動機の予測をしにくくする。金銭目的でも組織的な犯行でもなく、「脆弱性を見つけるのが楽しかった」「高度なプログラムにひかれた」という興味本位で、数万件規模の被害が生まれる時代になっている。
攻撃者の裾野が広がり、しかもその広がり方自体も変わりつつあるという時代の流れを踏まえたうえで、備えを継続的に見直していく姿勢が、これまで以上に問われている。
