▶ YouTube：https://www.youtube.com/watch?v=R6JmWk7UliQ
■ 3行でわかる
① GMOインターネットグループへの不正アクセスで、顧客のものとされる個人情報が公開された。GMOは1億5000万円余りの懸賞金を設定し、10月1日に運用が始まった「能動的サイバー防御」の発動を政府に緊急要請した。
② 日本ハッカー協会の杉浦隆幸氏や阪大の猪俣敦夫教授は、丁寧な脅迫や1件ずつ晒す手口からプロの犯行ではないとみている。能動的サイバー防御は基幹インフラ15分野が前提で、一企業への適用は疑問だとし、ひろゆき氏も実際にできることはほぼないと指摘した。
③ 身代金を払っても解決はしない、被害企業を叩くネット民は犯罪に加担している、という声が上がった。中小企業は地域で束になって対策を共有すべきだとも提言された。
動画の概要
ABEMA Primeで、GMOインターネットグループへのサイバー攻撃と、GMOが政府に要請した「能動的サイバー防御」を取り上げた回です。出演は日本ハッカー協会代表理事の杉浦隆幸氏、大阪大学の猪俣敦夫教授、夏野剛氏、ひろゆき氏らです。犯人像、制度の実効性、個人情報流出の実害、中小企業の対策まで議論しています。
主なポイント
1. 事件の経緯とGMOの対応
- 攻撃側が顧客のものとされる個人情報を公開した。政府は、漏洩情報を見かけても拡散しないよう呼びかけている
- 個人情報を表示していたサイトは、プロバイダーが規約違反として停止した。GMOは、同様のサイトが新たに出てもすぐにテイクダウンし、悪質な転載・拡散には刑事告訴を含む法的措置をとるとしている
- 専門家は、攻撃者のサイトや転載しているSNSを見ると、ウイルス感染やフィッシング詐欺の危険があると注意を促している
- GMOは1億5000万円余りの懸賞金を設けた。専用サイトの開設から6時間で113件の情報が寄せられたという
2. 犯人はプロではない？
- 杉浦氏：プロならこんなに丁寧に脅迫しない。払わなければ次へ移るのがプロの手口で、目的は金か、GMOへの恨みかもしれない
- 猪俣氏：1人分ずつ情報を出していくのは、自分の足跡をさらすリスクがあり、目的が読めない
- 夏野氏：普通のプロバイダーのサーバーに情報を載せるのは、深刻なサイバー攻撃とは経路が違う。犯人が捕まるかもしれない
- ひろゆき氏：スクリプト内のメモが日本語だったという話もある。犯人が日本人なら、懸賞金は一定の抑止力になる
3. 「払えば解決」は間違い
- ひろゆき氏は、払っても暗号が解けなかった例があるとして、犯罪者に金を渡して解決することはないと考えるべきだと述べた。払えと言うのはむしろ犯罪に加担する側だという
- 杉浦氏：プロ集団は信用商売なので払えば二度と来ないが、素人は何度でもやってくる可能性がある。日本で身代金を払う企業は10数%と言われる
- 社長がブログで、社内のホワイトハッカーから課題を指摘されていたのに対応が追いつかなかったと明かしている。ひろゆき氏は、これは経営判断の問題で、GMOは「落ち度のある被害者」だとした
4. 能動的サイバー防御とは何か
- 昨年5月に成立したサイバー対処能力強化法による制度で、アクセス無害化措置は10月1日から始まった。重要インフラが攻撃されたとき、警察や自衛隊が攻撃元のサーバーに入り、無害化できる
- 対象は基幹インフラ15分野が前提で、一民間企業の一サービスに当てはまるかは今後の議論になる。他国のサーバーに手を出せば、実行した個人が他国から指名手配されるリスクもある
- ひろゆき氏：GMOは第一種電気通信事業者なので守る意味はある。ただ攻撃者は乗っ取った踏み台を経由しており、司令塔は見つからない。DDoSでもない今回は、止めようがない
- 杉浦氏も「全くできない」とし、要請は熊谷会長のパフォーマンスで、騒ぎを大きくして犯人を追い詰める狙いだとみている。夏野氏は、政府が何もしないわけではないと示す意味はあると述べた
5. 個人情報が流出すると何が起きるか
- 夏野氏は、KADOKAWAの情報流出でダークウェブから免許証データを拾われて晒され、勝手な新聞購読の申し込みや高額の請求、脅迫を受けた経験を語った。標的になるのは主に有名人だという
- ひろゆき氏：メールアドレスはほとんどすでに流出している。口座番号やクレジットカード番号も手続きで対処できるので、一般人が実害を受ける例は少ない
- 流出した場合は、本人一人ひとりへの連絡が必要で、連絡が届かない人のために公表することも大切だ（杉浦氏）
6. 中小企業はどう守るか
- 猪俣氏：専門業者のセキュリティ対策は高額で、月10万円も払えない中小企業が多い。大阪商工会議所の月1万円ほどの簡易サービスのように、地域で「互助会」的に束になって守るべきだ
- 夏野氏：クラウドは大手を使う。マルウェアの入口になりやすい開発者のPCを守る。個人情報は最低限しか集めない
- ひろゆき氏：日本でITインフラをやるリスクが高すぎると、事業者もデータセンターも海外に逃げてしまう。政府がお金を出してでも国内事業者を守るべきだ
まとめ・結論
専門家の多くは、能動的サイバー防御は国家レベルの攻撃を想定した制度で、今回のような一企業への攻撃に実効性は乏しいとみています。ただ、懸賞金や政府への要請で騒ぎを大きくし、犯人を追い詰める効果はあるといいます。大切なのは、身代金を払わないこと、流出情報を拡散しないこと、被害企業を叩いて犯罪に加担しないことです。そのうえで、中小企業が共同で守れる仕組みや、国内のITインフラ事業者を支える政策を整えていく必要があると示されました。
▶ 元動画を視聴する（ABEMA Prime #アベプラ【公式】）
