「GMOランサム攻撃事件」雑感
インターネットが騒がしい！ ということで、またしても雑感を。
前回書いた「PHP騒動」雑感という記事は、同業者以外の、つまりITの専門外の人たちから「何が起きているのか理解するのに助かった！」と好評でめっちゃ嬉しかった。というか、普段こういった記事は同業者にしか読まれないのだが、そういう声が多く寄せられるということは、いまインターネットのドタバタが本当に世間一般の関心事になっているんだなあ。
結果として市井に広がっていたパニック的な空気を知ることができたし、こういった話題は専門家に閉じず様々な生活者の視点で話し合うことこそが面白いと思うので、今回もぜひそんなかんじで役立ててもらえたらと思う。
「GMOがやられた」というショック
まず、GMOがやられるのはさすがにヤバすぎるだろ、と思った。
GMOは、ドメインの登録、サーバーの提供、ネット決済、金融、セキュリティなど、インターネットに関わるさまざまな事業を行っている企業グループだ。日本のトップクラスのホワイトハッカーが集まるイエラエを買収し、サイバーセキュリティそのものを事業としている。いわば「専門家集団」である。焼肉きんぐがやられるのとはわけが違う。
そのGMOが提供するサービスで不正アクセスが発生し、利用者の情報が持ち出されたという。不正なFX取引が行われて利用者に被害が発生しており、攻撃者からは取得した情報を人質に身代金を要求されているのだ。完全にやりたい放題やられている。にわかには信じがたいことだった。
しかし、その後の発表で、GMO側に致命的な、擁護できないレベルの問題があったことが判明。グループ代表の熊谷正寿自身が、社内のホワイトハッカーから事前に脆弱性が指摘されていたにも関わらず、対応を疎かにしていたことを明かしたのだ。
また「攻撃者側の主張を信じるのであれば」、GMOのシステム構成が稚拙な作りであった可能性もある。（これ、TBSのニュース番組が攻撃者の主張をそのまま事実のように垂れ流していて「おいおいどうなんだ」と思ったが……。一応、この記事では、GMOの公式発表を「事実」として、それ以外は私見や推測として区別して書くよう心がけている。）
こうしたGMOの問題は、利用者の情報や資産を預かる企業として、その責任を厳しく問われるべきだと思う。
その一方で、Webの開発や運営に関わる仕事をしている者であれば、これを対岸の火事として、つまりGMO固有の問題として眺めているようなことはできないはずだ。
安全上の課題が分かっていてもサービスを止められない、ほかに優先すべき仕事がある、すぐには改修する人手を確保できない。そうして対応を先送りにしているシステムは少なくないはずだ。
GMOの何が問題だったのかを明らかにすることはもちろん必要だが、それを「GMOが愚かだった」という話で終わらせてしまうと、他の課題を見落とすことになるし、何より、一般に蔑ろにされがちなサイバーセキュリティというものに集まっている人々の興味関心を「責任者をハリツケにしてみんなで石を投げつける」というワイドショー的な活動のエネルギーにしてしまうなんてもったいない。
せっかくならこの状況を活かして、「インターネットを前提としている社会をこれからどうしていくのか（あるいはその前提を疑うべきなのか）」ということを話し合える人を増やしていこうじゃないか！
ということで、今回は「そもそもどうしてこんなことが起きたのか」を説明した上で、「僕たちは何を目指していくべきなのか」ということを考えるための私見をつらつらと書いていこうと思う。
GMOランサム攻撃事件
サーバー（VPS）の基礎知識
まったく何にも分からない人には、まず「サーバー」の話から入る必要があるだろう。
サーバーと聞くと、何か特別な機械のように思うかもしれないが、基本的には普段みんなが使っているパソコンと同じコンピューターである。パソコンと同じように、CPUやメモリ、データを保存するための装置があり、そこにWindowsやLinuxといったOSをインストールして、アプリケーションなどのプログラムを動かしている。
そのうち、特に「サーバー」と呼ぶ場合は、他のコンピューターからの要求を受けてデータや機能を提供する役割を指している。例えば、僕たちがWebサイトを見るときには、ブラウザからサーバーにデータを要求し、サーバーがそれに応じて画面を表示するためのデータを送り返す、というやりとりが起きている。
なので、自分のパソコンをサーバーとして使うことも可能である。自分のパソコンを他のコンピューターからアクセスできる状態にして、そのパソコンからWebサイトのデータなどを提供すれば、それは立派なサーバーだ。
しかし、自分のパソコンをサーバーにしてWebサイトをいつでも見られるようにしておくためには、パソコンを常に動かし続け、ネットワークにも接続しておかなければならない。故障や通信の停止にも備える必要があるし、アクセスが増えれば、パソコンの性能が足りなくなってしまうこともある。
そこで、自分でコンピューターを用意するのではなく、専門の事業者から借りて使う、という方法を取ることになる。これが「サーバーをレンタルする」ということである。
サーバーを借りる際の内容はいくつか種類があるのだが、そのうちの一つに、VPS（Virtual Private Server、仮想専用サーバー）というものがある。利用者が一台の物理的なサーバーをまるごと借りるのではなく、サーバーの資源を仮想的に分割し、利用者ごとに独立したサーバー環境のようにしたものを借りる、という仕組みだ。
利用者から見ると自分専用のコンピューターを一台借りているように使うことができ、その環境の中にプログラムをインストールしたり、設定を変更したりすることができる。ただし、あくまで仮想的に「そう振る舞う」というだけで、実際には同じサーバーの資源を他の利用者と分け合っているに過ぎない。
通常、それぞれのVPSは仮想的に分離されているので、あるVPSから他の利用者の環境に勝手にアクセスするようなことはできない……はずなのだが、今回の事件では攻撃者が「複数のVPSに対する管理者権限などに問題があり、利用者の環境をまたいでアクセスできた」といったことを主張しており、どうもこのあたりに脆弱性があったのではないか、ということが想像されている。
では、ここから今回の事件内容について具体的に見ていこう。
「お名前.com デスクトップクラウド」と不正アクセス
今回攻撃を受けたGMOの「お名前.com デスクトップクラウド」というサービスは、主にFXの自動取引を目的とした利用者にVPSを提供する、というものだ。
VPS上に用意されたWindows環境にFXの自動取引プログラムを入れて動かしておくことで、利用者が自分のパソコンを操作していなくても、プログラムが設定に従って自動的に取引を行うことができるという。
ところが、このサービスに第三者が不正にアクセスし、一部の利用者のVPSに不正なプログラムが設置されてしまった。GMOの発表によれば、影響を受けた可能性のあるサーバーは26,739件に上る。（ただし、これは実際に被害が確認された件数ではなく、影響の「可能性がある」範囲を示した数字である。念のため。）
実際に、利用者からは身に覚えのない操作や取引があったという報告が寄せられており、GMOは、VPS内に保存されていた取引口座のログイン情報などが第三者に取得され、不正に利用された可能性があると説明している。
利用者からの報告を受け、GMOは被害の拡大を防ぐためにサービスを停止したが、攻撃者は不正アクセスした際に入手した情報を人質に取ってGMOに金銭を要求している。
攻撃者は「取引に応じなければ取得した情報を公開する」と脅迫し、実際に十月二十七日には利用者に関係すると思われる情報が公開された。が、これが本当に今回のクラッキングによって得た情報かどうかは確認されていない。（別の経路で入手したものだったり、デタラメなものの可能性もある。）
また、GMOの調査では「利用者の情報が外部に持ち出されたこと」と「取引口座で利用者の身に覚えのない操作や取引があったこと」が確認されているが、攻撃者はこれらに加えて「VPSを通じて利用者の手元のパソコン内のファイルにもアクセスし、そこに保存されていた情報を取得した」と主張している。
ただし、GMOが利用者から端末を預かって調査をしているが、実際に利用者のパソコン内の情報が盗まれたとか、マルウェアが仕込まれたといったような事実は確認されていない。
攻撃者がどこから入り、どのような権限を得て、利用者のVPSにアクセスしたのか。詳しい経路について公式発表は出ていないが、攻撃者の主張によれば、VPS間の接続の仕組みや、複数のVPSに対して管理者権限を持つアカウントに問題があったのだという。
推測だが、仮に攻撃者の主張が正しいとするならば、まず何らかの方法で一つのVPSに侵入し、そこから複数のVPSを管理できるアカウントの認証情報を取得して、他の利用者のVPSにもアクセスした、ということではないかと思う。
何にせよ、この脆弱性についてはGMO社内で報告されていたものだということなので、「AIを使用して、未知の高度な攻撃が行われた」といった類のものではない。（だからこそ悔やまれる。）
そして、恐らくみんなが気になっているであろう「この事件がこの後どのようなシナリオを辿るのか」ということについては、ランサム攻撃に関する一般論がそのまま回答になると思う。
ランサム攻撃に関する一般論
一般論として、ランサム攻撃を受けた際に、攻撃者の要求に応じて身代金を支払うことは賢明ではない。
身代金を支払ったからといって、データを元に戻してもらえる保証はないし、盗まれた情報を本当に削除してもらえる保証もない。むしろ、支払ったお金が攻撃者の活動資金となり、次の被害者を生み出すことにもつながってしまうことだってあり得る。
（もちろん、過去には身代金を支払った企業もあるので、それについては何とも言い難いが……それは、それぞれに切迫した事情や、そう判断した理由があったのだろう。）
ではどのように対応していくべきかというと「ある程度の被害が出ることは覚悟した上で、それを最小限に留めるための努力をする」ということになる。
例えば、今回のGMOのように「情報が外部に持ち出された」「情報を公開すると脅されている」ケースにおいては、影響を受ける人に通知し、認証情報を変更し、不正利用や詐欺に備えること。捜査機関や関係事業者と連携して、公開や拡散の抑止、削除要請、二次被害の防止を進めることが対応策となる。攻撃者に盗まれてしまった情報の漏洩はある程度諦めるしかない。
また、去年のアサヒ飲料のように、業務上のシステムが乗っ取られて暗号化されて使えなくされてしまったようなケースにおいては、（実際に行われたように）安全なバックアップから復元し、脆弱性を修正して安全な環境を作り直す、という手段を取ることとなる。このとき、奪われたシステムとバックアップとの差分データや、対応期間中の機会損失などはある程度諦めることになる。
つまり、「攻撃者の要求に応じずに問題を解決する」というのは、「既に生じた被害に向き合いながら、それ以上の被害を防ぎ、時間をかけてシステムや信頼を立て直していく」ということなのだ。もちろんイバラの道ではあるが、攻撃者との取引に応じたとて解決する保証はないのだから、この道を行くしかない。
そして、その時の被害をどこまで小さくできるかというのは、「平時にどれくらいの備えをしていたか」に懸かっている。
AIハッキングの時代に、僕たちは何を目指すべきか
さて、「AIによってハッキングが簡単になり、大手企業がこうした攻撃を受け続けるのであれば、もうインターネットは安全に使えなくなるのではないか」と不安に思う人も多いだろう。
実際、AIの発達によって、攻撃者はこれまで以上に多くのシステムを調べ、問題のある箇所を見つけたり、攻撃のための作業を効率化したりできるようになっている。専門知識がなければ難しかったことが簡単にできるようになることで、攻撃に手を出せる人の数も増えるかもしれない。
ただ、最近の事件を見ている限りでは、何もAIによって初めて可能になった未知の攻撃、高度な攻撃がガンガン行われている、というわけではない。
むしろ「サイバーセキュリティとして基本的な対策を怠っていたことが、AIを活用した（恐らく大量でほぼ無作為的な）攻撃によって次々と明らかになっている」というのが実情だ。
例えば、アサヒグループでは、パスワードの脆弱性を突かれて管理者権限が奪われてしまったが、管理者アカウントの認証を強化しておくことは基本的なセキュリティ対策の一つである。
スタディサプリでは、ログイン周りの仕様に不備があり、第三者がメールアドレスの登録の有無を確認できたとされているが、外部からの問い合わせで利用者の情報がわかるような応答をしないこともシステム設計の基本だ。
NewsPicksでは、業務用の管理ツールの脆弱性が突かれて情報が漏洩した可能性があり、事件後に管理ツールからデータにアクセスできる権限を「業務上必要な最小限」に縮小したと説明しているが、これも本来ならば事前にやっておかなければならないことである。
大和証券やシチズン時計、損保ジャパンなどが利用していた外部委託先では、管理サイトに不正ログインされた結果として複数の企業の情報が漏洩したが、企業ごとの環境は分離する設計や運用にしておくべきだし、委託した企業も任せっきりにするのではなく、委託先の状況を確認するようにしなければならない。
……などなど、つらつらと具体例を挙げたが、何もこれ見よがしに各社の落ち度を指摘したかったわけではない。
僕は言いたいのは、管理者権限の保護、システムの仕様の点検、アクセスできる情報の制限、委託先を含む安全管理など、いずれもAIの登場以前から言われてきたことであり、今になって（AIが発達したことで）新たに注意しなければならなくなったことではない。改めて、そういった「やるべきことをきちんとやっているか」が問われているに過ぎないということだ。
その上で、さらなる問題（僕はここが最も大きいと思っているが）は、やるべきことがわかっていても、それを実行するための予算や人員が足りなかったり、脆弱性のあるシステムを直す仕事が後回しにされたりすることだと思う。（繰り返しになるが、今回のGMOの件でも、「脆弱性は社内で指摘されていたが」十分な対応ができていなかった、と説明されている。）
AIにはAIを、ということで、攻撃者がAIを使うなら防衛にもAIを使うという話があるが、AIを導入して、攻撃者より先に脆弱性を見つけられたとしても、それを直す人や時間が確保されなければ、安全にはならない。技術だけでなく、見つかった問題に対応するための組織の意思決定まで含めて、セキュリティなのである。
古くなったプログラムは更新する。重要な操作には追加の認証を求める。一人の利用者の環境に侵入されても、他の利用者の環境には簡単に移れないようにする。仮にデータを壊されても復旧できるよう、バックアップを細かく取る仕組みを構築し、実際に復元できるか試しておく。
こうした対策を重ねることで、攻撃を成功しにくくしたり、万が一侵入されたとしても被害の範囲を小さくしたりすることができる。
地震や台風への備えを想像してみてほしい。災害そのものをなくすことはできなくても、建物を丈夫にし、避難経路を確保することで、被害を小さくすることはできる。サイバー攻撃も同じように、すべてをなくすことは難しいが、被害を受けにくく、受けたとしても立て直しやすい仕組みを作ることはできる。
「完全には防げない」かもしれないが、それは決して「何をやっても無駄である」わけではない。対策には時間もお金もかかるし、地道な道のりかもしれないが、僕たちはそうやって少しずつ社会を前進させていくしかないのだ。
インターネットは死なないが、それでも、僕の好きだったインターネットは終わるのかもしれない
しばらくの間、今回のような事件は続くはずだ。そのたびに企業や行政は対応を迫られ、これまで後回しにしてきた保守やセキュリティにお金や人が投入されていくだろう。安全な設定が初めから組み込まれたサービス（Secure by Default）や、専門家に運用を任せられる仕組み、脆弱性診断の活用ももっと広がっていくかもしれない。
しかしながら、それらがすぐに十分に行われることはないので、対策が浸透するまでは、大きな被害を受ける人も絶えないだろう。それでも、社会がこれほどインターネットに依存している以上、僕たちはそれを放棄することはできない。
つまり僕は、生活を支える技術としてのインターネットが「使い物にならなくなる」とは思っていない。インターネットは相当のダメージは受けるものの、ある程度の混乱を経たあと復興し、表面上はこれまでと同じような生活が続くことになるはずだ。だから、そう心配しないでほしい。（わずかな変化として、本人確認の手順が増えたり、利用料が上がったり、防衛のためのコストを僕たちも支払うことにはなるとは思う。）
ただ、しかし。ここからは圧倒的に「個人の感情」の話になってしまうのだが……。
インターネットという技術が死ぬようなことはないものの、「僕が好きだったインターネット」は終わっていくんだろうな、というような感覚はある。
僕にとってインターネットとは、人々が思い思いに何かを作り、表現することのできる「ストリート」のようなところだった。
ストリートは「可能性」や「希望」という言葉と結びついた場所でもある。個人が自分の考えを発信できる。何かを作って、世界中の誰かに届けられる。会社や組織に所属していなくても、自分の場所を作り、自分の好きなものを公開できる。工場を建てたり、多くの従業員を雇ったりすることはできなくても、パソコンとアイデアがあれば、一人でソフトウェアを作って事業を起こせる。それが世界中の人に使われるサービスになって、人間の生活やライフスタイルを大きく変えてしまったりする。……そんな可能性や希望だ。
このイメージは、西海岸的な空気、カリフォルニア的なテクノロジー文化とも無縁ではないだろう。サイバースペースの住人たちは自由を掲げ、反体制的で、民主制を重んじる。若者が新しいビジネスを作り、一攫千金を目指すこともできる。ヒッピー的な自由への憧れと、ヤッピー的な起業や成功への欲望の混ざり合いだ。これは「カリフォルニアン・イデオロギー」と批判的に呼ばれたものだが、僕にとってはそれはそのまま魅力として、インターネットの可能性や希望のイメージを補強するものとなった。
ただ、これは割と00年代的な幻想に過ぎない。実際にインターネットが社会的に重要なものになっていく過程では、法整備が進み、中央集権化が進んできたし、そうして幻想の化けの皮は剥がされたりもしてきたのだが、それでもまだかろうじてインターネットには、僅かながらストリート的なニュアンスが残っていたように思う。
しかし、AIによるサイバー攻撃が社会的な脅威として認識されたことが決定打となり、ストリートはいよいよ全会一致で「整備」されることが決まるだろう。これから徹底的な再開発が進むに違いない。社会がAIの脅威に立ち向かうには、企業が安全管理を強め、行政がルールを整え、対策を支援しなければならない。それが、AI時代にインターネットの安全性を担保するということだ。
つまり、「こんな危ない状態で放っておいていいわけがない」と様々な整備が推し進められ、ストリートは自由で雑多な姿を失った「観光地」と化していくことになる。
インターネット上でソフトウェアを公開するための条件が増えれば、個人や小さな事業者にとってはチャレンジすることが難しくなるだろう。情報漏洩に対する厳罰化が進めば、手に負えない責任が伴うようになり、「ここで挑戦しよう」なんて気概も生まれなくなってしまうかもしれない。しかしそれも仕方のないことだ。AIの脅威に対策せず、荒廃したスラムになってしまうよりは十分マシな未来だと思う。
インターネットが安全を確保するために整備されていった結果、個人が何かを思いついて自分の場所を作ったり、アイデアを試してみるような余地が狭くなっていく。僕はそこに、自分がインターネットに見ていた自由や可能性のイメージが潰えるような喪失感を覚えてしまう。
もちろん、観光地化したインターネットにだって、まだまだ可能性も希望もあるだろう。きっと僕はそこでできることを見つけ、これからも何かを作っていくはずだ。
ただ、すっかりきれいに舗装された道を歩きながら、ときどきここがただのストリートだった頃のことを思い出して、少しだけ寂しい気持ちになるのだと思う。
