改正個人情報保護法の施行で漏洩時の報告と通知が義務化され、大企業の個人情報流出が公表されやすくなった。デジタル化とクラウド移行が進むほど被害は拡大し、AIハッキングの脅威が高まっている。
ここ数か月、大企業の個人情報流出が日常的に報じられる背景には、2022年4月の改正個人情報保護法による報告と通知の義務化がある。これにより重大な流出事案は公式発表やニュースとして公表されるケースが増えた。
企業のデジタルトランスフォーメーションとクラウド移行が進んだ結果、データが集約され一度侵入されると多数の records が一度に流出するリスクが高まっている。大企業は外部委託先を経由するサプライチェーン攻撃の標的にもなりやすい。
具体的な手口の開示が難しい点が被害拡大の要因の一つとして挙げられる。侵入経路の公表が攻撃者の再攻撃を招く懸念があり、業界全体で教訓の共有が進みにくいという現状が指摘される。
近年は日本語の壁が崩れ、生成AIの普及で日本語の自然さが高まったことから海外ハッカーによる標的型攻撃が活発化。AIや自動化ツールを使った波状攻撃や、データを暗号化して身代金と同時に流出データを公表する「ダブルエクストーション」が主流となっている。
流出したデータはダークウェブで高値で取引され、個人情報の二次被害が拡大する。犯罪集団の目的は巨額の金銭であり、国家背後のサイバー部隊も関与するケースがある。