毎日のように「〇〇という会社に登録している人の個人情報が〇〇人分流出した可能性がある」というニュースが流れている。
そして、ニュースでもワイドショー、ひいてはデジタル庁の長からも「不審なメールのリンクはクリックせず、いつもアクセスしているブックマークから開いて確認する」とか、「パスワードは分かりにくいものにして、定期的に変える」などといった対策が呼びかけられているが、今回のはそういう次元の話ではない。
フィッシングメールなどでユーザーのログイン情報を不正に入手した場合、その被害は基本そのユーザーの個人情報や、フィッシングサイトに入力してしまったIDやパスワード、クレジットカード番号などの情報で、そのサービスやシステムの中でごく一部の機能を使用している一人のユーザーの情報にすぎず、それ以上の被害は基本的に出ない。
確かに個人としてできる対策はするべきではあるが、民にはそういうレベルの話をしておけばよいと思っているのか？はたまた、報道している人もそんな話であると思っているのか？はたまた、どんな攻撃なのかを公表してしまうことでさらなる拡大が起きる懸念があることを分かっていて敢えて個人ユーザーの話だけをしているのか。
話を戻そう、今回の情報漏洩祭りともいえるサイバー攻撃はこんなレベルの話。
- クラウドなどのインターネットからアクセスして何かの処理をさせるサーバーを管理する会社または会社の中の管理権限を持つ人のアカウントが乗っ取られて不正に情報を引き出された
- クラウドなどインターネットからアクセスして何かの処理をさせるサーバーコンピューターのプログラムの脆弱性を突いて情報を直接引っ張り出した、または1を引っ張り出してそこから情報を引き出した
- クラウドサーバーへ接続できるパソコンのどれかが何等かのマルウェア（よく聞く話では「ランサムウェア」や「バックドア」など）に感染し、外部から不正侵入できる口を開けてしまい、いろいろと細工をされて不正に情報を引き出された
- クラウドサーバーのプログラム等で情報のやり取りに使うAPIの脆弱性を突いて不正に情報を引っ張り出す、または管理する権限のユーザーを勝手に追加して不正に情報を引き出された
などなど。これはもうユーザーではなく、データセンターにあるコンピューター（データセンターの一部に専用のコンピューターを置く場合もあれば、クラウドのように何台かのコンピューターを管理している会社を通じてレンタルや機能の提供を受けている場合などあり）が不正アクセスを受けて悪さをされたものなので、私たちのレベルでできることはほとんどない。
まさに今夜、PHPというプログラム言語に見つかった、いわば勝手にいろいろな悪いことができてしまう脆弱性について更新プログラムが配信される予定だが、そもそもこの脆弱性があるというのが更新プログラムがリリースする前にSNSなどで拡散してしまっているわけだから、情報が広がる順番が完全に逆転してしまっている。
PHPはいろいろなウェブサービス（このサイトもPHP言語を使用して稼働しているWordPressというサイト管理ツールを使用している）で、プログラムの基礎として使われているものなので、先に脆弱性があるという情報やどのような攻撃手法があるのかなどが漏洩してしまっていることで、にわかに危険な状態にあるし、脆弱性が見つかる以前に攻撃を受けているところも少なくないだろう。今回の情報漏洩祭りのうち、この脆弱性を突いた攻撃によるものも少なくないのかも知れない。
昔は、自分の会社にでっかいサーバールームを作り、自社内のデータをやり取りするサーバーを置き、ネットワークだけインターネット内のトンネル（VPN）を使って行っていたので、VPNの中をすり抜けられないような防衛をして、各端末（パソコン）からインターネットへ接続できないようにしたり、接続できても完全に別のルートを設けたりして、サーバーという城を守ればよかった。
そして、インターネット上には情報を発信し、お客からの注文を受け取るだけの窓口だけを設け、受注したらその先は手作業で社内の処理を行うのがセキュリティ上一般的だった。
それが、社内の情報もお客とのやり取りの情報もインターネット空間の中にあるデータセンタのサーバーに置き、通信から一旦遮断して処理をしていた人手（コスト）の削減を進めた結果、このような事態になったのではないだろうか？
さらに補足すれば、コロナ禍でリモート勤務というのが推奨され、前者の方式で運営していた会社が、業務を外からでもできるようにと後者へ変更したところも少なくないのではないだろうか？コンピューターのセキュリティは、口を開ければ開けるほど脆弱になるし、何より人の出入りの都度口を閉じたり開いたりしなければならないものの、管理が追い付いていないケースも少なくないのではないだろうか？
今回の情報漏洩祭りはAIによって引き起こされたもの。それをAIで検知したり脆弱性を発見したりして対処する。もはや人間の頭脳をはるかに超えたレベルでの戦いであり、今後も続くのだろう。
そして私たち個人は、どこかのサービスに登録した情報は必ず洩れるというのを前提に、本当にそのサービスを使う意味はあるのか？を真剣に考えてからユーザー登録をするべきだろう。
少なくとも私は、何かのサービスを受けるためのユーザー登録で、最初から私自身が分かってしまうような情報を求められた場合は猛烈に躊躇するようになり、大抵の場合は見送るようになった。また、Googleなどの別のサービスのアカウント経由で登録を促すようなケースでも利用を避けるようになった。
そうした防衛を個人個人がしていかなければならない、便利でもあり不便な時代になったもんだ。
最後に、このサイトに何か悪さをしても得られるものは何もないと思うので補足しておくと、このサイトはWordPressを使っているものの、サイトレベルでは以下のような対策をしているから容易には悪さはできないだろうな。
- WordPress本体やプラグインなどはすべて自動更新するようにしている
- アクセスがなくても更新が動くようサーバー側で定期的に更新を強制実行するようにしている
- PHPは常に最新版を使用している
- URLに含まれることのあるユーザー名はウソ八百
- ユーザーIDやユーザー名によるログインは禁止している
- そもそも私の自宅からでないとログインはできないようにしている
- 万が一別の場所からログインされても検知できるよう、ログイン時にメールが来るようになっている
- いろいろな情報を引き出せるAPIの口はほとんど閉じている
- 過去に不正アクセスがあったと思われるIPアドレス経由でのアクセスは拒否
- メールなどリモートで投稿できる口は塞いでいる
- 万が一リモートでコンテンツが公開されても分かるよう、公開時にはメールが届くようにしている
- よほど信頼のある追加機能（公式を含むプラグイン）以外は使用していない
- テーマにはカスタムコード一切なし、ブロックテーマ最低限のものを自作し、ほとんどの機能はWordPress本体のものを利用している
- 自身の知識とAIの助言を借りてできる限りセキュリティに配慮したプログラムを使用している
- WordPressで改ざんされることの多い主要ファイルやテーマ内のファイルに変更があった場合には即座に分かるようにしている
などなど。まあこれだけやっても管理しているレンタルサーバーがやられてしまったらしゃーない話だけどね（笑）。
ほとんどアクセスされることのない悲しいサイトだけど、WordPressを使って何かのコンテンツを公開している人で、サイトレベルでの上記のようなセキュリティに興味のある方はコメントでどうぞ。
コメントを残す