AIが攻める側にも回り始めた
「AIで仕事を楽にしたい。でも、悪い人もAIを使うなら、うちは大丈夫なのだろうか？」
最近、こうした不安を口にする経営者が増えています。きっかけの一つは、AIエージェント（指示を受けると、自分で手順を考えながら作業を進めるAI）を使って、中南米の400以上の金融機関を狙った攻撃があったという報道です。使われたとされるAIの中には、ClaudeやGrokの名前もありました。
同じころ、Claudeを作っているAnthropicのCEOが、高性能なモデルの公開をサイバー対策のために数か月遅らせたと話したことも伝えられています。作る側が公開を待ってまで守りを固める。それだけ、攻める道具としての力も上がっているということです。
ここで多くの経営者がつまずくのは、「では、自分は何をすればいいのか？」という一点です。社内にセキュリティの専門家はいない。予算も多くはない。ニュースを読んで不安になり、そのまま日々の仕事に戻ってしまう。
僕は、ここで難しい対策を探す必要はないと考えています。攻撃にAIが使われても、入口の多くは昔と変わりません。使い回しのパスワード。二段階認証（パスワードに加えて、スマホに届く番号などでもう一度本人かどうかを確かめる仕組み）を入れていないアカウント。そして、取引先や銀行を名乗る連絡です。
AIが変えたのは、こうした入口を探す速さと数です。人が一件ずつ試していたことを、AIは休まず大量に試せます。だからこそ、昔から言われてきた基本を、いまのうちに社内で一度そろえておく価値があります。
この記事では、その見直しをAIに手伝わせながら、今日から始める方法をお渡しします。
「実行の前に一覧」が守りの土台になる理由
守りの話の前に、第1回の講義で扱ったファイル名の話をさせてください。
フォルダの中のファイル名を、AIに一括で変えてもらう場面です。ここで僕がお伝えしたのは、頼むときに「変更前後の対照表を作成してから実行してください」と一文足すことでした。表を見て、気になる行だけ直してから実行する。そうすれば、元の名前を失わずにすみます。
一見、セキュリティとは関係のない話です。けれども根っこは同じです。AIでも人でも、いきなり動かすと、何が変わったのかを誰も追えなくなります。先に一覧にして、目で確かめてから動く。この順番があるだけで、間違いに気づける場所が一つ増えます。
社内の守りに置きかえると、こうなります。まず、会社にどんなアカウントがあり、誰が持ち、二段階認証が入っているかを表にする。表になれば、穴が見えます。見えた穴を、お金や顧客情報に近いものから順に埋めていけばよいのです。
もう一つ、同じ第1回の後半で話した「Level 3から4の壁」も関係します。AIの使い方には段階があり、3から4へ進むところで「個人の効率化」から「組織設計」への転換が求められます。
守りも、これとよく似た形をしています。社長一人がパスワードを強くしても、社員の一人が使い回していれば、そこが入口になります。気をつける人がいる会社から、気をつける手順が決まっている会社へ。これが、守りにおける組織設計です。
取引先や銀行を名乗る連絡も、手順で守れます。電話やメールで振込先の変更を頼まれたら、受け取った連絡先ではなく、もともと控えてある番号にかけ直して確かめる。誰がやっても同じ動きになるよう、文章にして社員に渡しておく。AIが作る偽の連絡がどれだけ上手になっても、確かめる道を別に持っていれば、そこで止められます。
今日そのまま試せる3つの手順と指示文
ここからは、ChatGPTでもClaudeでもGeminiでも使える形でお渡しします。下のかぎかっこの中を、そのまま貼ってください。
手順1 アカウントの一覧表の枠をAIに作らせる
「次の条件で、社内で使っているアカウントの一覧表の枠を作ってください。列は『サービス名』『何に使うか』『持っている人』『二段階認証の有無』『最後にパスワードを変えた時期』の5つにしてください。パスワードそのものは書かなくてよい形にしてください。僕が書きかけたら止めてください。表ができたら、二段階認証が入っていない行を、お金や顧客情報に近い順に並べ替える方法も教えてください。」
枠ができたら、まずは社長ご自身の分だけを埋めます。銀行、メール、会計ソフト、通販の管理画面。思い出せる順で構いません。
手順2 見直しは、対照表を出させてから進める
埋めた表のサービス名と二段階認証の有無だけを貼り、次のように頼みます。
「この表をもとに、パスワードの変更と二段階認証の設定を進める計画を作ってください。いきなり手順を書かず、先に『いまの状態』と『見直したあとの状態』を1行ずつ並べた対照表を出してください。表を確認して直したら合図しますので、そのあとで、担当者ごとの手順に分けてください。」
講義の対照表と同じ考え方です。表の段階で「この行は今週ではなく来月でいい」と直せるので、無理のない計画になります。
手順3 取引先や銀行を名乗る連絡のルールを文章にする
「取引先や銀行を名乗る電話・メール・メッセージで、振込先の変更、急な支払い、パスワードや確認番号の入力を求められたときの、社員向けの決まりを作ってください。条件は3つです。1. 受け取った連絡に書かれた番号やリンクは使わず、もともと控えてある連絡先で確かめる。2. 確かめ終わるまでは、急かされても手続きをしない。3. 確かめた結果を誰に伝えるかを決める。A4一枚に収まる、専門用語を使わない文章にしてください。最後に、社員が迷ったときに見返す3行のまとめを付けてください。」
できた文章は、自社の言い回しに直してから配ります。
怖がるより、確かめる順番を先に決める
AIが攻撃に使われたという話は、たしかに不安をかき立てます。ただ、不安のまま立ち止まっていても、会社は一つも守れません。
この記事でお伝えしたのは3つです。会社のアカウントを一覧にして、穴を見えるようにすること。見直しは、対照表で前と後を確かめてから進めること。取引先や銀行を名乗る連絡は、別の手段で確かめる決まりを文章にして社員に渡すこと。
どれも、高価な道具や専門の知識はいりません。要るのは、確かめる順番を先に決めておくことだけです。
「AIは、使うものではなく、育てるもの」。僕は講義でこう話しています。育てるとは、自分の会社の前提や判断の基準をAIに渡し、同じ仕事を同じ質で返してくれる状態にしていくことです。今回の3つの指示文も、一度使って終わりではありません。出てきた表や文章を見て、自社に合わない部分を直す。次からは、その直した形を最初から渡す。そうするうちに、守りの手順そのものがAIと一緒に育っていきます。
僕なら、今日のうちに手順1だけを終わらせます。表の枠を作り、まずは自分が持っているアカウントだけを埋める。社員に広げるのは、自分の分で穴の多さを実感してからで十分です。社長が自分の表を見せながら頼めば、社員も「やらされている」とは感じにくくなります。
そのうえで、手順3の連絡ルールは今週中に社員へ配ります。振込先の変更を頼む連絡は、相手が誰であっても、一度かけ直して確かめる。この一つが決まっているだけで、よくできた偽の連絡にも慌てずにすみます。
攻める側がAIで速くなるなら、守る側は確かめる順番で落ち着きを持つ。僕は、ここに経営者がAIを使う意味の一つがあると考えています。あなたの会社では、どのアカウントから表に載せますか？
