動画配信サービス「バンダイチャンネル」の運営会社に対する不正アクセス事件で、警視庁サイバー犯罪対策課は2026年7月、埼玉県所沢市在住の高校1年の男子生徒（15）を偽計業務妨害の疑いで逮捕したと発表した。2025年11月に発生したこの事件では、約4万6800件の会員アカウントが本人の意思に反して退会処理され、サービスが一時全面停止に追い込まれた。報道によれば、少年は対話型の生成AI「ChatGPT」を使って不正プログラムを自作していたとされ、生成AIが少年による攻撃の実行力を後押しした事例として注目されている。
何が起きたのか——4.6万件の強制退会とサービス停止
事件の発端は2025年11月4日にさかのぼる。運営元の株式会社バンダイナムコフィルムワークスは同社の発表で、この日「一部の会員様において意図せず退会処理が行われてしまうという障害」が発生したと説明している。警視庁が公表した逮捕容疑事実によれば、同日午後5時から午後8時46分ごろにかけて、何者かが同社の管理するサーバーに虚偽の情報を送信し、約4万6812件のアカウントが不正に退会処理されたとされる。
同社は事態を受けて2025年11月6日23時30分、緊急措置としてバンダイチャンネルの全サービスを一時停止した。その後、11月19日には利用者への詫び状を公式サイトに掲載し、メールアドレスやニックネーム、バンダイナムココインの残高情報、登録済みの支払い方法といった会員情報が漏えいした可能性があると説明した。ログインパスワードやクレジットカード番号は対象に含まれておらず、この時点で個人情報の不正利用などの二次被害は確認されていないとしている。また、ランサムウェアによる被害ではないことも確認済みだと明らかにした。 原因究明と改善対策には1カ月以上を要し、サービスが再開されたのは2025年12月19日正午だった。同社はこのタイミングで、漏えいの可能性がある情報の件数が最大約136万6000件にのぼると公表し、サービス停止期間中の利用料金については返金対応を行うとした。
生成AIを使った不正プログラムの自作が浮上
警視庁の発表や複数の報道によると、被疑者の男子生徒は、バンダイチャンネルとの通信内容を独自に解析してシステムの脆弱性を発見し、対話型生成AIの「ChatGPT」を使ってこれを悪用するプログラムを自作したとされる。会社側がアクセス遮断などの対応を取った後も、少年はIPアドレスを約30回変更しながら退会処理を継続していたと報じられている。
読売新聞は独自取材として、少年が会員のIDとパスワードなしでログインできる方法を発見していたことや、捜査幹部の話として、会員のメールアドレス・支払い方法・ニックネームなどを取得する別のプログラムを実行した形跡が見つかっていたことを報じている。ただし、これらの詳細は同社の公式発表や他の報道機関では確認が取れておらず、実際に悪用された脆弱性の種類も特定されていない点には留意が必要だ。
少年は小学4年生の頃から独学でプログラミングを学んでいたとされ、犯行当時は中学3年生（14歳）だった。捜査の結果、通信記録などから本人が特定され、2026年6月にまず不正アクセス禁止法違反の疑いで逮捕（その後、処分保留のまま釈放）された。今回7月の逮捕は、偽計業務妨害の疑いによる再逮捕にあたる。少年は調べに対して容疑を認めており、報道によれば、勤務先企業への恨みはなかった旨や、プログラムの完成にあたって生成AIに助言を求めた旨を供述しているとされる。
生成AIが「攻撃の民主化」を後押しするリスク
この事件が象徴するのは、生成AIの普及によって、高度な専門知識を持たない個人でも、対話型のやり取りを通じて攻撃コードに近いプログラムを組み立てられるようになりつつあるという現実だ。少年は独学でプログラミングを学んだとされるが、それでも自力だけでシステムの脆弱性を突く不正プログラムを完成させるのは容易ではない。生成AIとの対話がその技術的なハードルを押し下げた可能性があり、企業のセキュリティ担当者にとっては「攻撃者像」の前提を見直す必要性を突きつける事例だといえる。
企業の側としては、通信内容の解析や試行錯誤によって脆弱性を発見されるリスクを踏まえ、API・通信インターフェースの堅牢性を継続的に検証する体制が欠かせない。また、不審なアクセスパターンやIPアドレスの頻繁な変更といった兆候を早期に検知し、被害が拡大する前に遮断する監視体制の強化も重要になる。生成AIの登場は、専門家でなくても攻撃の一端を担いうる時代の到来を意味しており、業界・年齢を問わず、悪用されないための技術的・倫理的なガードレールの整備が急務となっている。