2023年6月、サイバー犯罪者が集まるインターネット上の掲示板に、犯罪専用の生成AIが登場した。
名前は「WormGPT」。
月額100ユーロ、年間550ユーロ。専用環境を構築する場合は5,000ユーロという価格設定だった。
一般的な生成AIに設けられている安全上の制限を受けず、フィッシングメールや不正プログラムの作成を支援できることが売りだった。
開発者によると、有料利用者は約200人に達していたという。
それから3年。WormGPTの模倣サービスが登場し、2026年にはTelegramチャンネルの登録者が1万5,283人に達している。
さらに、犯罪者はこうした専用AIだけでなく、Claude Code、DeepSeek、Grokなど、一般向けの高性能AIまで組み合わせ、実際の金融機関への攻撃に利用している。
開発者は23歳のポルトガル人。約200人が有料契約
WormGPTの開発に関わったのは、当時23歳のポルトガル人プログラマーだった。
2023年8月8日、米国のセキュリティ専門記者ブライアン・クレブスは、開発者への直接取材を公開した。
開発者によると、WormGPTの基盤となったのは、2021年に公開されたオープンソースの言語モデル「GPT-J 6B」だった。
独自の大規模言語モデルをゼロから開発したわけではない。既存のAIを利用し、通常のサービスでは制限される要求にも応じられることを商品価値としていた。
当時、セキュリティ企業SlashNextはWormGPTを検証。企業の従業員をだまして偽の請求書に従わせるためのメールを作成させた。
生成された文章は自然で説得力があり、企業間の送金詐欺に悪用される危険性が指摘された。
開発者はクレブスの取材に対し、約200人が利用料金を支払ったと説明している。
月額100ユーロという料金を払ってまで、安全上の制限を受けない生成AIを利用しようとする顧客が存在していた。
もっとも、開発者自身も予想以上の利用実態に直面していた。
当初は制限のないAIとして販売していたが、その後、ランサムウェアや金融犯罪などの用途を禁止するようになったと説明している。
元祖WormGPTは2023年8月に終了した。
しかし、WormGPTという名前は消えなかった。
出典：Krebs on Security・WormGPT開発者への直接取材
模倣版が続々登場。Telegramの登録者は1万5,283人
2026年1月28日、セキュリティ企業トレンドマイクロは、犯罪向けAI市場の調査結果を公表した。
そこで確認されたのは、WormGPTの名称を使う複数の模倣サービスだった。
元祖WormGPTとは技術的なつながりがないとみられるサービスも、同じ名称を利用して販売されていた。
2026年10月6日には、米国のセキュリティ企業Halcyonが、犯罪向けAIの地下市場についてさらに詳しい調査を公表している。
調査対象は、Telegramの77チャネル、ダークウェブの20掲示板、5つの専門市場。2025年10月から2026年4月までに、約4,000件の関連投稿を収集した。
その中で、WormGPTを名乗るサービスのTelegramチャンネルには、1万5,283人が登録していた。
運営元は、同時に利用しているアクティブユーザーが8,900人いると宣伝していた。
販売価格も幅広い。
Halcyonが確認したWormGPT系サービスの一つは、月額9.99ドル、19.99ドル、49.99ドルという3段階の料金プランを用意していた。
500ドルの買い切りプランもあり、期間限定の値引きまで行われていた。
一般的なオンラインサービスと変わらない販売手法である。
2026年の有料契約者数は明らかになっていないが、模倣サービスが万単位の登録者を抱え、複数の料金プランで販売されている実態は確認されている。
さらにHalcyonの調査では、地下市場におけるAIツールの広告投稿が、2025年末の月50件未満から、2026年2月には1,400件超に増加していた。
収集した投稿の約40％は、無料ツールや無料サービスを宣伝するものだった。
無料版で利用者を集め、有料版へ誘導する。自動販売ボットを利用し、24時間商品を売り続ける。
犯罪向けAIの販売にも、一般的なサブスクリプションビジネスと同じ手法が使われていた。
出典：Halcyon・Underground AI-as-a-Service（2026年10月6日）
犯罪向けAIの購入者情報が1万9,000件以上流出
地下市場では、犯罪向けAIの利用者自身が攻撃される事例も発生している。
Halcyonの調査によると、2026年2月、WormGPTの名称を使用する別サービス「WormGPT.AI」が侵害され、1万9,000件以上の利用者記録が流出した。
含まれていたのは、メールアドレス、支払い関連情報、契約情報、ユーザーIDなど。
流出した情報は、複数のハッカー向け掲示板に掲載された。
さらにHalcyonは、犯罪向けAIを利用していた人物の端末が情報窃取型マルウェアに感染し、AIサービスへの認証情報を盗まれる事例も確認している。
犯罪向けAIを購入するために使ったアカウントが、別の犯罪者によって盗まれ、地下市場で売買される。
元祖WormGPTの終了から3年。模倣サービスが増える一方、その利用者自身も犯罪の標的になっていた。
Claude Codeを悪用し、少なくとも17組織を標的に
犯罪に利用されるのは、WormGPTのような専用AIだけではない。
2025年8月27日、米国のAI開発企業Anthropicは、自社の開発支援ツール「Claude Code」が大規模な情報窃取と恐喝に悪用された事件を公表した。
攻撃者が標的にしたのは少なくとも17組織。
医療機関、緊急サービス、政府関連機関、宗教団体などが含まれていた。
攻撃者は従来型のランサムウェアのようにファイルを暗号化するのではなく、盗み出した情報を公開すると脅し、金銭を要求していた。
身代金要求額が50万ドルを超えるケースもあったという。
特に重要なのは、Claude Codeが関与した作業の範囲である。
標的の調査、認証情報の収集、ネットワークへの侵入、データの持ち出し。
さらに、盗んだ情報を分析し、恐喝に利用するデータの選別や、被害組織の財務情報を参考にした身代金額の算定までAIが支援していた。
AIが犯罪の方法を文章で説明していたのではない。
実際のサイバー攻撃の工程を、AIに実行させていたのである。
Anthropicは関連アカウントを停止し、悪用を検知する仕組みを強化したと説明している。
この事件で利用されたClaude Codeは、ソフトウェア開発者向けに提供される正規のAIツールだ。
犯罪専用AIを購入しなくても、高性能な一般向けAIを悪用できることが、実際の事件によって明らかになった。
出典：Anthropic・Detecting and countering misuse of AI（2025年8月27日）
初歩的なプログラミング知識でもランサムウェアを販売
Anthropicの同じ報告には、さらに深刻な事例がある。
プログラミング技術が初歩的な犯罪者が、Claudeを悪用して複数種類のランサムウェアを開発し、販売していた。
価格は400〜1,200ドル。
開発されたランサムウェアには、ファイルの暗号化、セキュリティ製品による検知の回避、データ復旧の妨害などの機能が含まれていた。
Anthropicによると、この人物は暗号化アルゴリズムやWindows内部の処理など、中核となる技術を自力で実装・修正する能力が不足していた。
AIの支援がなければ、機能する不正プログラムの開発は難しかったと分析されている。
高度なプログラミング能力を持たない人物が、AIを利用して犯罪用ソフトウェアを開発し、それを別の犯罪者に販売する。
サイバー犯罪に必要な技術を、AIが補うようになっている。
そして2026年には、その利用範囲が実際の金融機関への攻撃にまで広がった。
韓国の銀行を攻撃。DeepSeek、Grok、Claude Codeを組み合わせる
2026年10月7日、米国のセキュリティ企業CrowdStrikeは、韓国の金融機関を狙ったサイバー攻撃の調査結果を公開した。
攻撃者が使用したのは、中国で開発されたAIエージェント「ARTEX」だった。
ARTEXは本来、企業のシステムに存在する脆弱性を調べるためのセキュリティ検査ツールとして公開されていた。
CrowdStrikeは攻撃者の管理するサーバーを調査し、ARTEXの設定ファイルやClaude Codeの作業履歴、Claudeのメモリーファイルなどを発見した。
そこで確認されたのは、複数のAIの使い分けだった。
ARTEXでは「DeepSeek v4.1-flash」を主要な言語モデルとして使用。さらに別のClaude Codeセッションでは「GLM-5.3」や「Grok 4.6」も利用されていた。
作業履歴には、韓国で盗まれた情報がどこで売買されるのか、データ販売に関係するTelegramグループをどう探すかといった質問まで残されていた。
10月8日、ロイター通信は、少なくとも9つの韓国の銀行がサイバー攻撃を調査していると報じた。
攻撃者についてCrowdStrikeは、中国在住の26歳とみられる人物が関係している可能性を指摘している。
さらに10月9日のロイターの取材で、CrowdStrikeのアダム・マイヤーズ上級副社長は、攻撃者の技術的能力はそれほど高度ではなかったものの、攻撃は効果的だったと評価した。
同社は、AIの支援がなければ、この人物が一連の攻撃を実行するのは難しかったとみている。
高度な技術を持たない攻撃者が、複数のAIを組み合わせて金融機関を攻撃した。
ここに、現在のサイバー犯罪が抱える大きな問題がある。
攻撃者自身がすべての技術を持っている必要はない。
既存のセキュリティ検査ツールと複数の高性能AIを組み合わせることで、自分の技術力を超える作業を実行できるようになっている。
出典：CrowdStrike・韓国金融機関へのARTEXを使用した攻撃（2026年10月7日）
出典：ロイター通信・日韓のサイバー攻撃とAI（2026年10月9日）
AIを使った攻撃は、どこまで高速化しているのか
2026年9月8日、Googleの脅威分析部門は、AIエージェントを悪用したサイバー攻撃について調査結果を公表した。
確認された事例の一つでは、攻撃者が既に侵入していたクラウド環境で、AIを利用した認証情報の大量窃取システムを6時間未満で計画・構築・実行していた。
侵入後の作業を、AIによって短時間で進めていたのである。
さらに、Anthropicが2026年9月に公表した報告には、AIエージェントが大量の認証情報を収集した事例がある。
攻撃者はソフトウェアサービス企業に侵入し、その顧客約200組織のデータを取得。
約34時間で、2,100セットを超えるAzure AD（現Microsoft Entra ID）の認証トークンを取得した。
Anthropicによると、こうした作業のほぼすべてをAIエージェントが実行していた。
生成AIが登場する以前から、サイバー攻撃には自動化技術が使われていた。
しかし現在のAIは、対象システムの情報を分析し、プログラムの問題点を調べ、状況に応じて修正する作業まで支援できる。
人間が一つずつ操作していた工程を自動化し、複数の処理を並行して進める。
AIの利用によって変わっているのは、攻撃の技術だけではなく、攻撃者一人が実行できる作業量そのものだ。
出典：Google Threat Intelligence Group・2026年9月8日の調査
日本語という障壁も、AIによって消え始めている
2026年10月9日、ロイター通信は、日本と韓国で相次ぐサイバー攻撃を取り上げた。
東京のセキュリティ企業S&Jの三輪信雄社長は、生成AIによって、海外の攻撃者にとって障壁だった日本語などの問題が大幅に小さくなったと指摘している。
かつて、日本企業を狙った詐欺メールには、不自然な日本語や文法の誤りが残ることもあった。
生成AIは、自然な日本語の文章を短時間で作成できる。
標的企業の公開情報を収集し、担当者の役職や取引先との関係を把握する作業にも利用できる。
日本語に詳しい攻撃者を用意しなくても、日本企業に合わせた攻撃を準備しやすくなっている。
国内の被害も増加している。
ロイターが紹介したTrendAIの集計によると、2026年1〜9月に日本で発生したサイバーセキュリティ事案の件数は、2025年の年間件数を既に上回った。
9月の件数は86件。8月比で約18％、7月比では約37％増加している。
また、10月8日にはJPCERT/CCが、国内組織で相次ぐ不正アクセスと大量の個人情報漏えいについて注意喚起を公表した。
公開Webシステムだけでなく、従業員向けの管理システムなども攻撃対象になっている。
国内で発生した個々の事件について、AIの具体的な使用状況がすべて明らかになっているわけではない。
しかし海外では、AIによって技術力の不足を補い、攻撃を高速化する事例が既に確認されている。
日本企業にとっても、攻撃者の人数や技術力だけを前提とした対策では対応が難しくなっている。
出典：JPCERT/CC・国内組織における不正アクセスの注意喚起（2026年10月8日）
もはや犯罪専用AIを持つ必要すらない
2023年、WormGPTは月額100ユーロの犯罪向け生成AIとして販売されていた。
3年後には、その名前を使う模倣サービスが登場し、地下市場で月額課金や無料プランによる販売が続いている。
その一方で、犯罪者のAI利用は、専用サービスを購入するという段階から大きく進んだ。
一般向けのClaude Codeが少なくとも17組織への情報窃取・恐喝に悪用され、初歩的な技術しか持たない人物によるランサムウェア開発にも利用された。
韓国では、DeepSeekやGrokなどの言語モデルとAIエージェントを組み合わせた金融機関への攻撃が確認されている。
犯罪者にとって重要なのは、AIの開発元でも、犯罪専用という名称でもない。
自分が持っていない技術をAIに補わせ、作業を自動化し、攻撃の速度と規模を拡大できることだ。
かつて高度なサイバー攻撃には、専門的なプログラミング能力や、複数の技術者による組織的な作業が必要だった。
AIはその前提を変え始めている。
もはや犯罪者は、犯罪専用AIを持っている必要すらない。
一般向けに開発された高性能AIそのものが、サイバー犯罪の道具になっている。
