2025年2月に公表された生成AI関連のインシデント（2件）
2025年2月に一次発表があった、生成AI・AIツールに関わる事例です。原因は一次発表に書かれた範囲だけを載せています。
-
Microsoft、盗んだ顧客の認証情報で生成AIサービス（Azure OpenAI等）を悪用していた犯罪ネットワーク「Storm-2139」を提訴
MicrosoftのDigital Crimes Unitは、公開情報から集めた顧客の認証情報を悪用して生成AIサービスのアカウントに入り、機能を改変したうえでアクセス権を他の犯罪者に転売し、著名人の性的画像など有害なコンテンツの生成方法を提供していたとするネットワーク『Storm-2139』について、2024年12月に提訴し、2025年2月の修正訴状で4人を特定したと公表した。
- 原因
- 公開されていた顧客の認証情報の悪用（Microsoft）。
- 影響
- 被害を受けた顧客数は公表なし。
- 当事者の対応
- 米バージニア州東部地区連邦地裁への提訴、一時差止命令による中核ウェブサイトの差押え、米国内外の法執行機関への刑事告発の準備。
- 防ぐには
- 生成AIのAPIキーをコードや公開リポジトリに置かず、利用量の急増など異常な使われ方を監視する。
- AIの悪用 楽天モバイル株式会社（日本）
中高生の少年3人が他人のIDで楽天モバイルのeSIMを不正に取得（生成AIの悪用も判明）
警察庁の報告によると、SNSで知り合った中高生の少年3人（14〜16歳）は、2024年5月から8月にかけて、不正に入手した他人のIDとパスワードで電気通信事業者のサーバーに不正アクセスしてeSIMを不正に取得したとして、2025年1月から2月にかけて警視庁に逮捕された。報告は、この事件で生成AIを悪用した事実も判明したとしている。総務省は2025年8月、楽天モバイルに対し、少年らの犯行グループが2023年11月から2025年2月にかけて有効なIDとパスワードを入手し、本人確認書類なしで2回線目以降のeSIMを申し込める仕組みを悪用して不正に契約した事案などについて指導した。警察庁の報告は事業者名を伏せているが、期間・サービス（eSIM）・手口（2回線目以降をIDとパスワードだけで申し込める仕組みの悪用）が総務省の指導文書と一致する。
- 原因
- 2回線目以降のeSIMを、IDとパスワードの入力だけで（本人確認書類なしに）申し込める仕組みが悪用された（総務省・警察庁）。生成AIをどう悪用したかは公表されていない。
- 影響
- 少なくとも7,002回線（4,609人）分の有効なIDとパスワードが犯行グループに入手されていた（総務省）。これらのIDで利用者専用ページ「my楽天モバイル」にログインでき、通話先の電話番号などが閲覧できる状態だったとして、総務省は通信の秘密の漏えいと認定した。
- 当事者の対応
- 総務省は2025年8月19日、漏えいの報告の遅れなどについて楽天モバイルを文書で指導した（総務省）。警視庁が2025年1〜2月に3人を逮捕し、同じ手口をまねた少年2人も同年3月と8月に逮捕された（警察庁の報告）。
- 防ぐには
- 契約の追加や重要な設定変更には、IDとパスワード以外の本人確認（多要素認証など）を求める。使い回しのパスワードを狙った攻撃を想定し、ログインの試行を監視・制限する。