近年、企業を狙ったランサムウェア攻撃や不正アクセスによる個人情報流出が相次いでいる。被害拡大を防ぐため、国が通信事業者に対して問題のサイトへの接続を遮断する「ブロッキング」の実施を要請する事態も起きた。こうしたサイバー攻撃への対応と国の介入のあり方について、『ABEMA Prime』で専門家を交えた議論が行われた。
■GMO不正アクセス会見の波紋…企業が直面するサイバーリスク
不正アクセス問題を受け、GMOは会見を開き、「2年前から指摘されていた脆弱性を解決できなかった」などと説明した。企業のサイバーリスク対応について、日本ハッカー協会代表理事の杉浦隆幸氏は経営者としての見地から、「GMOはこの件を受けてやれること全部やろうとした。そのパッケージの中の最後の1つが記者会見だったと思う」と推測。その上で、「やらない方が得。会見のメリットは、どんな人がやっていて、どんな思いを持って動いているかが伝わるだけで、株価も下がっている。いいことないのによくやったと思うし、それだけ顧客が大事だったのだろう」との見解を示した。
元警察庁サイバー警察局サイバー捜査課長でセキュリティコンサルタントの棚瀬誠氏は、「2年前の指摘が生かせなかったというところは、対岸の火事ではない」と指摘。「2年前のリスクの評価と、高性能AIが悪用できる今のリスクの評価はたぶん違っていた。様々な企業が持っているリスクについて棚卸しして、定期的に再評価していく仕組みがあれば防げたかもしれない。他企業も教訓にできるところだ」と語った。
■国による「ブロッキング」要請の是非…テイクダウンとの違い
今回の不正アクセス問題に関連し、総務省は通信事業者に対し、流出した個人情報が掲載されたサイトへの接続を遮断する「ブロッキング」を要請した。
これについて棚瀬氏は、「伝統的な攻撃組織はダークウェブ上にリークサイトを作っていたため、一般人が普通にアクセスできるところではなかったが、今回は一般人が容易にアクセスでき、個人情報を閲覧できてしまう。情報公開による犯人側の狙いを弱めるための一つの手法としてブロッキングはあり得る」と一定の理解を示した。一方で、「一般のサイトに作るということは、足がつくということになる。万が一広がってしまうと対応するためには一つの考え方だが、どういう理屈でブロッキングの要請ができるのかというコンセンサスがないと進めない」と懸念を表明した。
対して杉浦氏は、サイトへのアクセスを遮断するブロッキングではなく、サーバー管理会社などに連絡して問題のサイトそのものを停止・削除する「テイクダウン」で対応すべきだと主張。「連絡先があるわけだから、そこに連絡していれば止めてくれる。実際にダークウェブでも普通のインターネットでも不正サイトに関しては頻繁にやられている」と説明した。
そして、「ブロッキングを要求するのはいいかもしれないが、受け入れて実行に移してしまうと、おそらくネットの表現の自由はかなり失われる。それによって新しい考え方、自分たちとは離れた考え方の方を攻撃して止めてしまう可能性もある」と強い危機感をあらわにした。
■ネットの抜け穴と「通信の秘密」をめぐる懸念
ブロッキングの実効性と「通信の秘密」侵害という副作用についても議論が交わされた。
杉浦氏は、被害に遭ったユーザーの心理に触れ、「今回は脅迫サイトを見なければいけなかった人たちもいる。実際に情報を漏らされた人は、次は自分かもしれないと覚悟するために、どんなふうな情報が漏れているか見た方が良かったと思う。そこでブロッキングされると、なかったことになってしまう」と指摘した。
ひろゆき氏もブロッキングの実効性を疑問視し、「ブロッキングすると、サイトを見るのがすごく難しくなるという体で話されているが、DNSサーバーをGoogleに指定するようなひと手間をかければ見られてしまう。仮にブロッキング的なことをやったとしても、SNSなどで『こんなものが上がってます』と出す人がいる。ブロッキングしても情報が出回るのは止められないから、無駄なコストをかけるだけだ」と語った。さらに、「逆にそのサイトに上げさせてくれたら犯人の情報が出やすくなるので、むしろ泳がせた方が得だ」との見方を示した。
日本国内では児童ポルノサイトへのブロッキングが一部で実施されている一方、オンラインカジノについては導入が議論されている。棚瀬氏は「オンラインカジノも今、有識者会議で揉んでいるが、今回にわかに要請が出てきた。すごく一足飛び感がある」と指摘。「理屈が整い、コンセンサスが得られるのであれば、テイクダウンとブロッキングの両方の手段があればリークの効果を最低限に止められるという意味で併存の可能性はあるが、まずはブロッキングの理屈がちゃんとわからないと世の中進めない」と慎重な議論を求めた。
■AI時代のサイバー防御…「侵入される前提」での対策へ
AI技術の進化により、サイバー攻撃は高度化しており、企業には対応が求められている。今後の社会の課題について、杉浦氏は「GMOはいつもテイクダウン（の依頼）をいっぱい受けているので、うまいやり方を知っている。それを共有してほしい。そうすればテイクダウンはほとんどいくと思う」と提案。「AIにやらせるよりは、先に自動化できるところは自動化したい。それでかなり防げている」と語った。
棚瀬氏は、「AIを悪用されるともう侵入されるという前提で考えるべきだ」と警鐘を鳴らす。「侵入された後、攻撃者の不審な挙動を制限できるシステムが作れれば情報は漏れない。侵入を防ぐことだけでなく、侵入後のことに光を当てていくことが今後重要になってくる」と総括した。
ひろゆき氏もこれに同調し、「例えば免許証の画像が漏れたとしても、再利用が難しい事態になってきている。本人認証の時に動画で撮って、動画データそのものは残さず、本人確認ができたかどうか、という結果だけ保存していれば、そこのデータベースが漏れても問題ない。もうデータベースは漏れるわけだから、ハッシュ化（元のデータを復元が難しい文字列に変換すること ）するなど、漏れる前提でシステムを作った方がいいという形になってくるのではないか」と展望を語った。
（『ABEMA Prime』より）