ブロックチェーン分析企業Chainalysisのセキュリティ侵害と、暗号資産取引所Binanceをめぐる数十億ドル規模の窃取事件は、人工知能（AI）がサイバー攻撃の風景の一部となりつつあることを浮き彫りにした。攻撃者がAIツールを主要な暗号資産企業に対して使い始めるなか、世界で最も活発な暗号資産市場の一つであるナイジェリアには、この技術を規律する法的枠組みが依然として存在しない。

この二つの事故は、同国の既存のサイバーセキュリティおよびデータ保護法制が、自律性を増すAIシステムを巻き込む攻撃に対応できるのかという疑問を投げかけている。2024年のChainalysis「Global Crypto Adoption Index」で暗号資産採用率が世界第2位だったナイジェリアにとって、その意味はとりわけ大きい。

確認済みの事実と未確認の事実

暗号資産取引所、政府、法執行機関による窃取デジタル資産の追跡を支援するブロックチェーン分析企業Chainalysisは先週、攻撃者が同社の表現するところの「攻撃的なエージェント的手法」を用いてシステムおよび内部ツールにアクセスしたと明らかにした。

同社は、侵入者がプラットフォームの一部ユーザーのユーザーID、氏名、メールアドレス、組織内役割ラベルにアクセスしたことを確認した。一方、調査コンテンツ、取引やクエリの結果、平文のパスワード、多要素認証のシークレット、ユーザーセッショントークンへのアクセスの証拠は見つからなかったと報告している。

Chainalysisは、攻撃者がAIを具体的にどのように使用したのか、どの脆弱性が悪用されたのか、侵入のどの程度が自動化されていたのかについては説明していない。その後の更新情報で同社は、追加のセキュリティ評価を実施する間、ReactorやData Solutionsなどの一部製品を一時的にオフラインにしたと明らかにした。

Binanceの事故は別の事案である。同取引所は先週、約63.4億ドル規模のデジタル資産がセキュリティ事故の影響を受けたと報告した。今週公表された初期調査結果によると、Binanceは約28.5億ドルの資産を凍結または遮断したとし、窃取による経済的影響を自社が負担する意向を示した。残りの影響を受けた資産のどれだけが追跡・凍結できるか、また今後の調査結果が侵入の経緯について何を明らかにするかが、調査の進展とともに注目すべき焦点となっている。

FBIの情報に基づき、Binanceは攻撃を北朝鮮によるものと特定した。ブロックチェーン分析企業のTRM LabsとChainalysisは、これをTraderTraitorとして知られる集団に結び付けている。

同取引所の報告書は、偽の採用面接、悪意あるソフトウェア、侵害された従業員デバイス、盗まれた認証情報を含む多段階攻撃を描写している。さらに、攻撃者が侵害されたエンジニアのコンピューターと内部AIツールを利用して、他の2人のエンジニアのマシンを掌握し、その後ウォレット運用に関連するインフラにアクセスしたことも明らかにしている。

この一連の経緯は、AIが単独で窃取を実行したことを裏付けるものではない。むしろ、アクセス制御と従業員デバイスが侵害された場合、AI対応の内部ツールが攻撃チェーンの一部になり得ることを示している。

なぜAIがセキュリティの方程式を変えるのか

これらの事故は、新たな脅威の二つの側面を示している。AIは攻撃者のシステム侵入を助ける一方、組織は同じ技術を攻撃の検知と防止にますます頼るようになっている。Binanceの報告書は、AIベースの異常検知を拡充したことに言及している。

IBMの「2026 Cost of a Data Breach Report」は、悪意のある侵害の4件に1件がAIに関係し、前年から56%増加したと述べている。こうした事例の多くは、完全に自律的なエージェントではなく、ディープフェイクによるなりすましやAI対応マルウェアが関与していた。

この区別は重要である。当面の脅威は、必ずしもAIシステムが自律的に組織へのハッキングを決断することではない。攻撃者がAIを使って既存の手口をより速く、より説得力のある、より拡大しやすいものにできる能力こそが問題なのである。AIを使ってもっともらしい文面を生成したり、活動の一部を自動化したりすることで、詐欺メッセージ、なりすまし、マルウェア、ソーシャルエンジニアリングはいっそう効果的になり得る。

従業員が貴重な資産や機密性の高いインフラにアクセスできる暗号資産企業では、一つのアカウントやデバイスの侵害が重大な結果をもたらし得る。

脅威は封じ込めがますます困難になっている。6月、Immunefiの最高経営責任者（CEO）Mitchell Amadorは、防御側が新興のAI脅威に匹敵する能力を獲得するまで、暗号資産業界には3〜4年の猶予しかない可能性があると警告した。CircleのCEO Jeremy Allaireも、Brian SozziがXに共有したインタビューの中で、組織は攻撃を受けている前提で運営すべきだと同様に主張している。

ナイジェリアの金融セクターはすでにその影響を経験している可能性がある。PremblyのCEO Lanre Ogungbeは、Bloombergに対し、同国の金融セクターへのAI駆動型攻撃が150%増加したと語ったと伝えられている。

ナイジェリアのユーザーにとって、リスクは暗号資産取引所にとどまらず、銀行口座、デジタル決済プラットフォーム、個人情報にまで及ぶ。AIを活用したなりすましやフィッシングにより、顧客は正当な連絡と詐欺的な連絡の区別がさらに難しくなる可能性がある。

ナイジェリアには計画はあるが、AI専法はない

ナイジェリアはAIの法的枠組みの整備を開始しているが、その過程はまだ単独のAI法の制定には至っていない。

国家デジタル経済・電子統治法案（National Digital Economy and E-Governance Bill）は、この課題に対応する主要な立法手段の一つである。上院ICT委員会委員長のShuaib Salisuは、この法案がAIエージェントを対象に含めると示唆している。法案は2025年末以降繰り返し約束されており、上院は年内の成立を目指している。しかし、可決・成立するまでの間、これは施行された規制枠組みとして機能しない。ナイジェリアの暗号資産・デジタル金融企業にとって、このタイムラインは重要である。AIツールが機密性の高い内部システムに到達し得る状況で、どのようなセキュリティおよび説明責任の義務が適用されるかは、法案の最終条文によって決まるからだ。

他の取り組みは別途進行している。ナイジェリアデータ保護委員会（NDPC）は、AIに関連する新たな懸念に対応するため、ナイジェリアデータ保護法の見直しを進めている。国家情報技術開発庁（NITDA）も、ナイジェリアのサイバーセキュリティ枠組みの変更の可能性について政府機関と協議しており、長官のKashifu Inuwaは、国家安全保障顧問室および国民議会とのサイバー犯罪法制の共同見直しについて言及している。

政府の取り組みは、AI規制がもはや無視されていないことを示している。課題は、これらの個別の取り組みを実行力のある法制にすることにある。

AI支援攻撃がナイジェリアのユーザーに届くとき

ナイジェリアには、サイバー犯罪法やナイジェリアデータ保護法を含め、一部のAI支援攻撃に適用され得る法律がすでに存在する。AI専法が存在しないからといって、攻撃者や組織が既存の法的保護の外で完全に活動しているわけではない。

しかし、AI利用の拡大は、既存の法制がAIシステムを導入する企業の責任に十分に対応しているかという差し迫った疑問を生じさせている。AIエージェントが機密情報に無断でアクセスした場合、誰が責任を負うのか。内部システムにアクセス可能なAIツールを導入する前に、組織はどのようなセキュリティ義務を果たすべきか。AIエージェントが関与する事故を規制当局はどう調査し、影響を受けたユーザーにはどのような救済を提供すべきか。

企業がAIをカスタマーサービス、ソフトウェア開発、財務運用、社内ワークフローに組み込むにつれ、これらの問いはさらに緊急性を増している。

政府の外からも、より厳格なルールを求める声が上がっている。Xユーザーの@Wealth_ese1は、NITDAがAIロードマップを公表していることに言及しつつ、「ロードマップは法律ではない」と主張した。サイバーセキュリティ専門家のPeter ObadareはVanguardに対し、「規制は過剰ではない、必要なものだ」と述べた。

懸念は金融にとどまらない。独立国家選挙管理委員会（INEC）も、暫定有権者名簿におけるAI生成写真をめぐる疑惑について釈明を発表しており、公共の信頼と選挙管理に対するAIの潜在的影響を浮き彫りにしている。

鍵となるのは説明責任

Chainalysisへの侵入、Binanceの窃取事件、そしてナイジェリアの未完成のAI法制は、共通する課題を示している。AIは、組織が使う道具と攻撃者が悪用する手法の両方の一部になりつつあるということだ。

これらの事故は、AIがBinanceの窃取を引き起こしたと証明するものでも、既存のナイジェリアの法律があらゆるAI支援攻撃に対応できないと証明するものでもない。しかし、AIを導入する組織の責任を明確に定義する必要がある理由を示している。

ナイジェリアの提案中の法制は、こうした責任に対応する枠組みを提供し得るが、その有効性は、何を義務付けるか、どのように執行されるか、そして規制当局が急速に変化する脅威に対応する能力を持つかどうかにかかっている。

暗号資産の採用が顕著で、デジタル金融セクターが成長する国にとって、問いはもはやAIがサイバーセキュリティに影響を与えるかどうかではない。次の攻撃が起こったとき、ナイジェリアの法的枠組みが準備できているかどうかである。

出典：TechNext24