- 出演者
- 伊藤雅之 上原光紀
今朝のテーマは「不正アクセス被害なぜ拡大」「AI進化で変わるサイバー攻撃」「情報をどう守るために何をすべきか」について考えていく。
政府の個人情報保護委員会の速報値によると、今年4月からここまでの国内個人情報の漏えいは、のべ約2億6000万人分に登っている。漏洩した情報は名前、住所、メールアドレス、パスワードなどで深刻なものになると免許証画像やパスポート番号などにも及ぶ。岩井コスモ証券では5つの口座で不正取引が成立、GMOインターネットグループではハッカーグループが多額の金銭を要求などの事態に至っている。Aiを用いることによって同時並行で攻撃を仕掛けることが可能になっている。従前はクレジットカード情報を狙うのが主流であったがいまはあらゆる種 類の情報を狙いにきている。目的がわかっていれば守りやすさもあるがどこを狙っているのか分からない攻撃が不安視されている。大きな問題に見えないところからも実際は情報を抜き取られているということもある。被害が急拡大している背景にはAIの悪用による短期間好テンポの連続攻撃による因が大きいいと見られる。こういった犯罪の裏側が組織だったものか少人数によるものかなど分からない部分がある。こういったことに対して個人の側としてできることについて佐々木さんは「二次被害の拡大を防ぐために2要素認証やパスキー認証の利用、クレジットカードなどの利用通知の設定、パスワードの変更、使わないウェブサービスからの退会するなどが個人にとっての重要な対策かと思います」と話す。佐藤さんは「パスワードの変更はなかなかできない。けれどもそういったところから丁寧にやっていくことで身を守ることが重要になっていくだろう」と話す。IDに関しては漏えいしているものだと理解したうえでパスキー認証などを積極的に使っていくことが望ましい。パスキー認証は基本的には推奨のオプションだが今は必須になっているサイトも多くなっている。なお、情報が流出してしまった際の対応に付いてはNHKのサイトに纏められている。
GMOは不正アクセス被害などがあり、ある社長が会見を開く予定である。佐々木さんは現状を「ランサムウェアのランサム（脅迫）だけをするタイプの攻撃」「第三者やメディアの注目を集めようとしているというのが非常に際立っていると考えている」などと話した。佐藤さんは「注目を浴びることは企業にとってリスク」と話し、「注目を集めることは攻撃者の思い通りというところがあるので、温度感への対応は企業としてはすごく大変なことだと思っている」などと話した。そして、得た情報で利益を得る手口について、佐々木さんはスパイ活動などの情報を盗むことを目的にしたものと盗んだ情報を換金して収益を上げる場合の2パターンがあるとし、「AIの利用により、これまで想定していなかった収益のあげ方や目的も出てくるのではないか」などと話した。佐藤さんは情報漏洩の被害にあった人が情報漏洩したメールアドレスから不審なメールが届いたという話から、「お金にすぐ変えるという攻撃者も出てくるだろうと思っている」などと話した。
PHPの重大な2つの脆弱性が発見されたことにより、企業や行政機関等は対応に追われ、HPなどが一時公開停止する事態に発展した。佐々木さんは「WEBサイトを作る側・動かす側に影響のある話」とし、「重要なウェブサイトやサービスであったとしても緊急で止まることがある」「ずっと使い続けられるわけではないと確認するキッカケになった」などと話した。佐藤さんは「被害が表面化はしていなくてもどんどん攻撃者が新しい手法で攻撃していく」としたうえで、「企業がサイトを止めるなどで対応したことにより、消費者側は(自社のシステムを)把握して対応できる組織なんだと分かる機会にもなったのではないか」などと話した。佐々木さんは「システム（のバージョン）が古くなったところをついて悪用されることもあることもあることから、システムは常に入れ替わっていく」「入れ替えのためのコストを企業や社会的に負担しないとITシステムは利用し続けられないんだと再認識していただければ」などと話した。佐藤さんは「更新プログラムがいつ出てくるかなど未知数な部分が多かったが、企業側が安心ほうに判断したことがウェブサイト停止に繋がった」と話した。
- キーワード
- PHPPHP ホームページ高市早苗
今回のような被害急増の背景にはAIの進化があるということが指摘されている。三浦さんは「犯罪者側からみると、AIによって手間を掛けずに大量に攻撃が可能になった。AIソフトの「ARTEX」は特定のホームページのアドレスを指定して、ここを攻撃して下さいと命じると、システム上の欠陥を自動でこのソフトが探し出して、攻撃まで自動で行う。人間がこうした探索をすると数週間かかるが、AIを使うと短時間で見つけ出してしまう。ただ、こうしたAIを使った攻撃はものすごく高度な攻撃ではなく、基礎的なミス・不備を見つけている」と話した。佐々木さんは一般的なサイバー攻撃のプロセスを紹介し、「AIはこれらを短縮し、このスピードが圧倒的早いのが、攻撃を効率化させている要因」とし、佐藤さんは「AIは探索しながら情報を盗む。人だと少しずつステップを踏むが、AIは目的ベースなので、問題が見つかったらすぐに情報を取りに行く。目標さえ達成すればいいので、やり方とかは気にしないのがポイント」、「実際の母数としては情報漏えいしていないところが多くある。守りきったところも多い。従来型の対策が効いてないわけではなくて、ある程度従来型の対策が効いてるというのは認識して頂きたい」と話した。
伊藤雅之さんが、“GMOのケースですと能動的サイバー防御を政府に要請しました。能動的サイバー防御は重大な被害を未然に防ごうということで、警察あるいは自衛隊が、攻撃元のサーバー特定して、これをプログラム消してしまったりコンピューターシャットダウンする措置を、今月からとるようになった。佐々木さんは防衛研究所でも研究されてるということなんですが、能動的サイバー防御期待できるのか、課題はどんなものになるか。”などと述べた。
企業の役割、責任について、佐藤さんは「企業はもともと責任を負っていると思っている。やはり攻撃者の質が変わったということに対して、企業がどう答えていくかがポイントになる」と話し、佐々木さんは「必ずしも被害情報だけでなくて、防御ができた、我々専門家が分析できた情報も活用して、官民連携で防御し、攻撃者を追い込んでいくというのがこれからの必要なのでは」と話した。国の対策については、政府は今週をめどに緊急対策パッケージをまとめる。当面の対策として、相談対応の充実、民間の専門能力の活用、情報発信の強化などが挙がっている。三輪さんは企業に求められる対応として、「情報セキュリティーへの投資」、「多重防御、棚卸し」、「不正アクセスの情報共有」、「人材育成」の4つを挙げた。佐々木さんは「被害公表も広い意味では情報共有になる。今回のケースだと9月後半から多くの企業が被害を認知したタイミングで公表したことで、社会全体でこれはまずいことが起きてるぞと早期に知ることができた。被害公表自体がもつ注意喚起性というのが間違いなく重要なポイントだと思っている」などと述べた。
- キーワード
- PHP