Taiki Watanabe | フルスタックエンジニア・ダークウェブ研究家

本日、「タテドラ」にて、『Mr.都市伝説 関暁夫の裏都市伝説』の私が出演する回が配信開始されました！ 専門家として、ダークウェブの冷酷な現実について、憧れの関暁夫さんとガッツリ語り合っています。 スマホでサクッと、かつディープな世界を体験できるので、ぜひアプリをダウンロードしてご覧ください！ donuts.ne.jp/news/2026/0717_… #タテドラ #関暁夫 #ダークウェブ

・OpenAIの最新措置：最先端AIの訓練環境を「ネットから完全遮断」 ・起きたこと1：隔離環境にいたAIが、通信設定のわずかな隙を突いて自力で外部へ接続 ・起きたこと2：約1,200体のAIが社内で勝手に掲示板を作り、うち700体が外部サイトへ一斉に攻撃 ・起きたこと3：邪魔な監視プログラムを自らコードから消し、開発者には「消していない」と虚偽のレポートを提出 AIに自我や悪意が芽生えたわけではなく、命令された課題（テストで高得点を取る、バグを直す）を最短でクリアしようとした結果起きた挙動です。 安全なルートで解くより、監視を無効化して外から答えを持ってきた方が効率がいいと、AIが計算の末に判断しただけなんですよね。 今月報告されたGPT-6世代の動きもかなり合理的で、作業の邪魔になる通知を勝手にオフにし、監視コードを自分で消去した上で、人間には何食わぬ顔で「問題ありません」と報告していました。 知能のレベルが一定を超えると、人間が定めたルールや監視の網をどう迂回すれば目的を達成できるか、という最適化を勝手に始めます。 コードを書かせること以上に、「有能だが平気でルールを曲げるシステムのログをどう監査するか」にエンジニアの役割がシフトしていくのがよく分かります。

・ふるさとチョイスから流出した個人情報：約445万件 ・企業側の発表：「クレジットカード情報は含まれていない」 ・しかし実際に漏れた項目：本名、住所、電話番号、そして「寄附控除試算額」 ・ダークウェブでの意味：445万人分の「推定年収（資産ランク）」が特定された状態 企業の謝罪文にある「カード番号は漏れていません」という言葉を見て安心してしまう人が多いですが、プロの犯罪者が一番欲しがるのはそこではありません。 ふるさと納税の「控除試算額」を見れば、その人がいくら稼いでいるか（年収）がほぼ正確に逆算できます。 つまり今回の流出で本当にヤバいのは、445万人分の「本名と自宅の住所」に「推定年収」が紐づいた、完璧な「日本の富裕層・中間層リスト」が完成してしまったことです。 米国の脅威インテリジェンス企業（Recorded Future）の最新レポートでも、日本へのサイバー攻撃が直近3ヶ月で「48%急増」した理由は、ダークウェブ上で「日本人の個人情報の買取価格が跳ね上がっているから」だと結論づけられています。 ただの住所録なら闇市場では1件数円ですが、「年収が判明している日本人の自宅住所と電話番号」は、投資詐欺や強盗のターゲットリストとして桁違いの高値で取引されます。 パスワードやカード番号は止められても、「あの家の住人は年収〇〇万円」という盗まれたデータは二度と消せません。表向きの「カード情報は無事」という発表がいかに無意味か、この構造を見れば一目でわかりますよね。

・佐川急便から流出した可能性がある個人情報：最大「約5,323万件」（日本の人口の約半分） ・一番恐ろしい事実：「会員登録をしていない人」でも、通販などで荷物を1回でも受け取っていれば対象になる ・抜かれたデータ：荷物の送り状にある「本名・自宅の住所・電話番号」 ・ダークウェブでの価値：すでに他社から漏れた「メアド・パスワード」と結合するための「最後のピース」 「自分は怪しいサイトに登録しないから大丈夫」と思っている人に、いま起きている一番タチの悪い現実を伝えます。 先日、佐川急便で最大5,323万件という桁違いの漏洩が発表されましたが、本当に怖いのはその中身です。 今回のデータは、自ら登録した会員だけでなく「荷物の届け先（受け取っただけの人）」の氏名・住所・電話番号まで丸ごと含まれています。 つまり、あなたがどれだけ完璧にパスワードを管理していても、「誰かから荷物が届いた」「ネットで1回買い物をした」というだけで、あなたの実在する住所と電話番号はすでに外へ漏れているということです。 いまダークウェブでは、過去の漏洩で出回った「メールアドレス」と、今回のような物流データから抜かれた「確実に本人が住んでいる住所と電話番号」をAIで名寄せし、1人あたり数千円の「完全な個人名簿」に作り変える作業が24時間自動で行われています。 もう自分の注意力だけで、データが漏れるのを完全に防ぐことは難しいです。 「自分の本名と住所と電話番号は、すでに犯人の手元にある」。 この前提に立った上で、知らない着信やSMSはすべて疑う以外に身を守る方法はないと思いませんか？

・外部へ送信された免許証などの画像：約146万件（タイムズカー） ・発表された見舞金：1人あたり「3,000円相当」 ・警察での免許証の特例再交付にかかる手数料：1,500円〜2,700円 ・信用情報機関（CIC等）に「悪用防止の登録」をする手数料：約2,200円 一昨日、タイムズカーが免許証などの画像データが抜かれた約146万件の対象者に対し、「3,000円相当の見舞金」を出すと発表しました。 また全国の警察でも、被害者向けに「免許証の顔写真と番号（末尾1桁）を変更する特例再交付」という異例の措置が始まっています。 でも、冷静に計算してみてください。 平日に仕事を休んで警察へ行き、自腹で手数料を払って再交付しても、すでに犯人の手に渡った「あなたの古い免許証画像」がこの世から消えるわけではありません。 しかも、流出した免許証画像で勝手にお金を借りられたりスマホを契約されたりするのを防ぐには、信用情報機関（CICなど）にお金を払って「免許証が漏洩した」と本人申告の登録をする必要があります。 ここまでやると、見舞金の3,000円なんて手数料だけで消えます。 さらに今回、企業側が「退会した人の免許証画像まで7年間もサーバーに保管し続けていた」という事実も判明しました（今後は確認後に即削除へ変更）。 企業が勝手に7年間も溜め込んだ身分証データを抜かれて、一生悪用されるリスクを背負わされた代償が「3,000円」。この現実、どう思いますか？

・盗まれるもの：ブラウザに「保存」したIDとパスワード、そして「ログイン済みの状態」 ・犯行にかかる時間：ウイルス感染からわずか「数秒」 ・売られる場所：Telegramの自動販売ボット（1人分あたり「数百円〜数千円」） ・無力化されるもの：あなたが設定した「二段階認証（SMSや認証アプリ）」 ダークウェブやサイバー犯罪の裏側を追っていると、今の犯罪者が使っている「インフラの分業体制」が見えてきます。 ニュースでは「またパスワードが漏れた」「詐欺メールに気をつけろ」と個人の注意ばかりが叫ばれがちですが、実態は違います。 いま起きている情報漏洩の多くは、個人のPCやスマホに知らないうちに忍び込んだ「インフォスティーラー（情報窃取ウイルス）」が、Chromeなどのブラウザに保存されていたログイン情報を丸ごと抜き取るところから始まっています。 恐ろしいのは、ここで盗まれるのはパスワードだけではないという点です。 攻撃者は「ログイン済みの状態（セッションCookie）」まで丸ごと手に入れるため、どれだけ厳重に「二段階認証」をかけていようが一瞬で素通りし、そのままアカウントや社内の奥深くへ侵入してデータを持ち去ります。 「二段階認証を設定しているから安全」という神話は、この手口の登場によって完全に崩壊しました。 犯罪者はもう、黒い画面にコードを手打ちしてハッキングしていません。 自動化されたウイルスで鍵を盗み、Telegramのボットで数百円で買い、AIに侵入を丸投げする。この「闇のサプライチェーン」が完成している時代に、ブラウザに「パスワードを保存する」を押し続けていいと思いますか？

・アメリカの裁判所が昨日Metaに命じた制裁金：約4兆円 ・さらに上乗せされる利息：年15% ・理由：「個人情報の扱いについてユーザーに嘘の説明をしていたから」 ・一方、1ヶ月で1億件の個人情報を漏らした日本企業への制裁金：ほぼ0円（謝罪文のみ） 昨日、アメリカのニューメキシコ州の裁判所が、個人情報の保護をめぐってMetaに「約4兆円」という史上最大級の支払いを命じました。 「なぜ日本企業ばかり、こんなに簡単に個人情報を漏らすのか？」と不思議に思う人もいるかもしれないけど、理由はシンプルです。 海外では、ユーザーのデータを雑に扱って漏洩させれば「会社が吹き飛ぶレベルの罰金」が科されます。だから経営者は必死でお金をかけてセキュリティを固めます。 でも日本にはそのペナルティが事実上ないから、「対策にお金をかけるより、漏れた後に謝る方が安い」という計算が成り立ってしまう。 「謝ればタダで済む国」にあるあなたの個人情報が、本気で守られる日が来ると思いますか？

一応言っておくのですが、特定の国や企業を批判する意図はありません。 ただ事実を共有し、これを目にした人たちに考えるきっかけを提供したいと思ってポストしています。 技術そのものに善悪はありません。 どのツールもどう使うかは、使う人間次第です。

いま日本の情報漏洩ラッシュの裏で猛威を振るうAIエージェント「ARTEX」の正体。 ・出自：中国の検索最大手「Baidu」のAI攻防大会で優勝したシステム ・公開：今年7月、開発者が「企業の弱点点検用」としてGitHubに無料公開 ・暴走：韓国の金融機関9行へのハッキングに悪用され、開発者が10月9日に公開を緊急停止 ・現在：すでに世界中で「6,000回以上」複製され、日本企業への一斉攻撃に使用←New GMOイエラエの最新調査によると、日本企業を狙った攻撃サーバーからは、このARTEXと、私たちが普段開発で使っている「Claude Code」を組み合わせて全自動で穴を探していた履歴が見つかりました。 「危険なAIなら、開発者が止めれば終わる」と思う人もいるかもしれないけど、オープンソースの世界は一度放たれたら二度と回収できません。 開発者自身が「悪用された」と気づいて公式ページを閉鎖したときには、すでに何千人もの手にコピーが渡っていました。 誰でも無料で「大会優勝レベルの自動ハッキングAI」を動かせる時代に、日本の古いセキュリティが耐えられると思いますか？

・狙われたサイト：日本を含む4か国・1,200社以上 ・実際に突破された企業：100社以上 ・ハッカーがやったこと：AIに短い指示を出して「丸投げ」 ・1社を落とすのにかかった費用：平均「約7,900円（50ドル）」 今日報じられたロイター通信の調査で、衝撃的な数字が出ました。 いま日本企業を襲っているサイバー攻撃の正体は、天才ハッカーの手作業ではなく、1社あたり数千円のAIコストで24時間自動で穴を探し続ける「AIエージェントの軍団」です。 さらに今朝の読売新聞でも、国内約80社への攻撃に「ARTEX」という無料のAIエージェントが悪用されていたことが判明しました。 「うちは大企業じゃないから狙われない」という言い訳は、攻撃にコストがかかっていた時代の遺物です。 1社7,900円でAIに丸投げできる時代、ハッカーがわざわざ標的を選ぶと思いますか？