# タイトルコール おはようございます。 備え防災アドバイザー、高荷友也がお送りする、 死なない防災、備えるラジオ。 10月22日、木曜日、本日も備えて参りましょう。 # PHP脆弱性の緊急通知 本日のテーマはインターネットのお話をしたいなと思うんですけれども、 最近、ソナエルラジオ、それからYouTubeソナエルTVでも サイバー攻撃や個人情報の漏洩などについて何度かお話をしてまいりましたが、 今回はウェブサイトを動かしている共通の仕組みに重大な問題が見つかった、 そんなニュースのお話をしたいなと思います。 これは昨晩ですね、10月21日に一部の界隈でだいぶ騒がれ、 ただ総理大臣の高市さんのXでも皆さん支給対応してくださいというようなポストが投げられましたので、 もしかすると今朝ぐらいのニュースからちょっと騒ぎになるかもしれないんですが、 何があったのかと言いますと、PHPと呼ばれるプログラムに重大な問題が判明して、 急いで修正しないといろいろなホームページが悪いことされちゃいますよと、 そんな問題が発生したんですね。 ただ今回もですね、あんまりカタカナを使うとちょっと何の話かなみたいになっちゃいますので、 ちょっとですね、家作りに例えて今回の問題のお話をしたいなと思います。 さて、今回問題になっているのはPHPというプログラミング言語と呼ばれるものですね。 私たちが普段いろんなホームページを見たり、いろいろなウェブのサービスを使ったり、 なんならこのVoicyとかもそうなんですけれども、 いろいろなホームページやウェブサービスを作るためには、 プログラミング言語というのを使ってホームページなんかを作っています。 このPHPと呼ばれているものは、ものすごくいろんなところで使われている言語で、 大体世界中のホームページウェブサイトの7割ぐらいがPHPと呼ばれるものを使って作られているんです。 例えば、お家を建てるときに大工さんやハウスメーカーの方々は、 家は建てるわけなんですけれども、窓とかドアとかキッチンとか、 そういう部品を全部自分たちで作るわけではないんですね。 いろんなメーカーの製品を組み合わせてお家を建てているということになります。 ホームページ、ウェブサービスなどを作るときにも、 こういう共通の設備にあたるものがいろいろあるんですね。 全部一から作るわけにはいかない。 なので、いろいろな共通できる部品とかを使うということになるんですが、 PHPと呼ばれているものも、ウェブサイト、ウェブサービスなどを作るために利用されている共通の仕組みの一つです。 これが世界中の7割ぐらいのウェブサービスに使われているということで、めちゃくちゃ広く普及しているものなんですね。 さて、今、建てたお家、家のお家のトイレとかに小さな窓がついているとします。 人がギリギリ一人通れるぐらいの大きさの小さい窓がついていたりするんですが、 基本的にはトイレの窓、ちゃんと内側から鍵をかけていれば外からは開けられません。 ところが、このトイレの小さい窓、この窓を外側からちょっと特殊な方法でガタガタと揺らすと、 鍵が外れて開いてしまうことが分かったということなんですね。 しかも、結構これ同じ窓を世界中のめちゃくちゃたくさんの家に使っていたということになるんです。 最近はいろいろセキュリティの意識とかも高まっていますので、 例えばお家の玄関とかですね、玄関、頑丈な玄関に変えました。 何なら鍵も交換して、絶対開かないようにしました。 そういうふうにしている方、非常に多いんですが、このトイレの窓はあんまり気にしていなかったと。 窓をそこまで普段は意識するようなところではなかったんですね。 ところが今回、窓を特殊な方法でガタガタ揺らすと開いちゃうということが分かった。 開いちゃうとそこから泥棒が入ってくるかもしれない。 なので皆さん窓を修正して開かないようにしてください。 というような騒ぎが実は起こっていたというのが昨晩の話なんですね。 今回この騒ぎが起こりまして、いろいろな修正などが行われたということになるんですけれども、 今回この窓の開発元がガタガタと揺らしても開かないようにするための窓の修正方法を発表したわけなんですが、 実はこの窓の修正方法を発表する前に予告を出したんです。 例え話なんですが、実は世界中のお家に使われている窓に非常に危険な欠陥が見つかりました。 その明日の夜、修理方法を公開しますので、皆さん修理の準備をしておいてくださいということが発表されたんですね。 さあ大変です。発表が1週間前とか1ヶ月前とかでしたらいろいろ準備もできるんですが、前日にいきなり発表があったんですね。 それがちょっとすごいスピード感だったんですけれども、大変です。 住宅メーカー管理会社の担当者の方は、うちが管理している家はこの窓を使っているの?何件家があるの?修理する人は確保できているの?といろいろ準備を始めるわけなんですね。 今回このPHPと呼ばれているものは、10月20日に事前の予告を出しました。 20日に予告を出して、その修正版のやり方の公開予定は、日本時間で21日の夜23時、昨晩23時にですね、やり方を公開しますと。修正方法を公開しますと。 そういった発表がありまして、日本国内の各種機関もこの修理方法が公開された後、速やかに対応できるようにと準備が呼びかけられました。 直前にその高市総理からもXのポストで注意が呼びかけられていたんです。 ということで、みんなが業界関係者は、大変今日は徹夜だみたいな感じになってしまったんですが、 さて、修正方法が発表されたら、なんでそこまで急いで作業しなきゃいけないのか。別に翌朝以降でも良くない?というふうに思いたくなるんですけれども、 ちょっとここが問題があったんですね。今回、窓メーカーから鍵を外れないようにするためのネジの調整方法が公開されたとします。 ところが、このネジの調整方法、これをよく調べますと、逆にどこをどう揺らせば窓が開く、開いてしまうのかと、 そういったことが泥棒側にもわかってしまう可能性があるんですね。コンピューターの世界でも、よくプログラムの修正ってある話なんですが、 修正前のプログラムと修正後のプログラムを比較して、どこが変わったのかということを調べると、その違いから悪さをやる方法がわかってしまうんですね。 攻撃方法を探る手がかりになってしまうんです。なので、修正の仕方が公開されたら、できるだけ早くその修正を実行しないと、 悪いやり方を解析した泥棒に悪用されちゃう、サイバー攻撃を受けちゃう、そういったことが起こってしまうんです。 今までは、とはいえこのプログラムの比較をして攻撃方法を探すというのは、なかなか大変な作業でしたので、 明日の朝一で対応しますみたいな、そのぐらいのスピード感でもなんとかなっていたんですが、今問題になっているのがAIの発達なんですね。 本当にこの1年、数ヶ月、AIの発達がすさまじいことになっています。 そうすると、今回この窓の修理方法、それをAIにぶち込みますと、もう本当数分間で、この窓、こうやって揺らしたら開きますねと。 修理が終わっていない窓、一斉に攻撃しかけて泥棒を中に送り込みましょう。 そういうことがAIを使うとできるようになってきてしまったんです。これはあくまで例え話なんですが。 なので昨晩、夜23時にこの窓の修正方法を発表しますという公開があったので、本当に夜23時直後から修理を始めないと泥棒に侵入されちゃうかもしれない。 そういったことが起こりまして、ちょっと騒ぎになったんです。 とはいえ、いっぱい窓があるホームページなんかは全部の窓を一斉に修理することはできないんですね。 そのため昨晩、こういう修理が間に合わない、あるいは安全を期して絶対大丈夫なようにしたいといういろいろなウェブサイト、ウェブサービスなどは、 事前にサイトをロックしました。 家の例えでいうと、家全体を巨大なドームで覆ってしまったんですね。修理が終わるまで外から誰も入れないようにする。 もちろん泥棒も入れなくなるんですが、普通のお客さんも入れなくなります。 昨日もいろんなウェブサービスがロックされておりまして、誰も触れないようになりました。 その間に修理を完了させるということをするんですが、結構たくさんのホームページが昨晩、もしかすると今もロックされているということも一つの騒ぎの原因になっていたんです。 # 家の玄関や鍵を立派にしても、トイレの窓から侵入される恐れ では問題なのは、私たちは何をすれば良いのかという話なんですね。 まず、通常ですね、普通にホームページをスマホで見たり、パソコンで何かお買い物をしたりとか、 ウェブを使う立場の方は、特に何にもする必要はありません。 ただですね、今回のこの修理が間に合わなかったホームページ、泥棒に侵入されたホームページなどから、 情報漏洩とか不正操作とか、そういったことが起こる可能性はありますので、 私たちができることは何もないんですが、日頃からサイバー防災に意識をするということは考えていただきたいなと思います。 そのサイバー防災のやり方は、先週YouTube、そのLTVで公開しました。 今日、概要欄にリンク貼っておきますので、良かったら動画を見ていただきたいなと思います。 それからですね、個人でホームページやブログを運営されている方ですね。 例えば、ワードプレスと呼ばれるようなCMS、こういうのを使っている方は、契約しているレンタルサーバー会社のお知らせとかを確認してください。 多くの場合は、レンタルサーバー側が勝手に修理を終えてくれますので、何にもする必要はないんですが、 会社によっては自分で設定を変えなきゃいけないとか、そういったこともあり得ますので、 自分で何かホームページを持っているという場合には注意をしていただきたいんです。 それから会社ですね、企業などでウェブサイト、ウェブサービスを担当している方は、これは自分で修理をする必要があります。 なので、社内のシステム担当者の方、ホームページの保守をお願いしている会社なんかに、昨晩発表されたPHPの脆弱性の対応、 あれって今回の対応もう終わってますか、大丈夫ですかと、そういったことを問い合わせ確認をしていただきたいなと思います。 私もやりました。私も自前のサイトですね、そなえるJP、運営しているものがありますので、これは昨晩23時から対応を行ったということになります。 今回、いろいろ騒ぎになったんですが、なんで今回こんなに騒いでいるのかということなんですね。 別にこういうPHPに限らず、いろいろな脆弱性というのが発表されて、対応しなきゃいけない、そういうことはよくあります。非常によくある作業なんですね。 ただ、今回は結構規模がすごかったんです。今回の騒ぎというのは、数年に1回あるかないかのインターネットの根幹部分、基盤を巻き込む結構重大なトラブルに近かったということになるんです。 まず1つは、今回はPHPと呼ばれるものが対象になったんですが、PHPの普及率がすごいんですね。世界のホームページの7割ぐらいで使われているということで、日本だけの話じゃないです。 世界中のホームページ、ウェブサービスに問題が生じる可能性が出た。これがまず大規模化した原因になります。 それから、今回起こった不具合。先ほどから例え話で、窓を揺らすと開いちゃうかもしれないということを言ったんですが、まさにそういう問題が起こったんですね。 基本的に普通のホームページ、見る側というかホームページを管理する側は、管理するときにはホームページID、パスワードを使ってログインしないとホームページをいじることはできません。 ただ、今回ID、パスワードを使わずにログインしなくても、外から窓をこじ開けて中に入れちゃう。そういう結構やばい不具合が見つかったんですね。 そのため、今回このPHPの開発元からも、どのぐらいのレベルで今回やばいのかというのが発表されているんですが、10段階中9.2、ほぼMAXですね。 ものすごくやばいと。マグニチュード9.2の地震が起こる、そのぐらいの規模でやばいというようなことが発表されましたので、こいつは一大事ということになりました。 もう一つ問題になっているのが、昨今のAIの進歩ですね。今までもこういう修正のプログラムの公開はよくあったんですが、今AIがちょっとやばい速度で進化しちゃってますので、 先ほど言いました修正方法をAIにぶち込むと、ほんの数分で攻撃方法が出てきてしまう。なので、今回の騒ぎを知らなかったホームページ、それから翌朝やればいいやみたいにしていたところを、 もうその夜中に、朝日の出の前に攻撃を仕掛けて泥棒を送り込んじゃう。そういうことができるように、今技術が進歩しちゃったんですね。 技術の進歩は、悪人が使うと困るわけなんですが、そういった色々な良くないことが今回重なって大騒ぎとなりました。 もしかすると、まだ現在進行形でなっているかもしれません。ということで、私たち一人一人が何かをする必要はありませんし、別にスマートフォンの電源を切らないと危ないとか、 家のWi-Fiをオフにしないと危険だとか、そういうことは全然ないので、安心してください。今回は運営側ですね。ホームページなどを運営して作っている側の問題になりますので、私たちは別に何もする必要はないです。 ただ、今回のこういう不具合を受けて、情報漏洩とか色々なサービスが止まるとか、そういうことはありますので、やっぱり日頃からですね、 サイバー防災というものに意識をしないといけないのかなと。備蓄もその一つです。これに関しては動画でお話をしていますので、ご覧いただきたいなと思います。 ということで、実はひっそりとインターネットの世界で、やばいことが昨晩起こっていました。何ならまだ起こって続けているかもしれません。 ということがあったよというお話をさせていただきました。今回の放送はここまででございます。 # コメントお名前紹介 ここからはコメント返しのコーナーでございます。 今回の放送は1423回目地球最後の日マグニチュード9.9の誤報の背景と とっさに行う安全行動の話ということで いやー怖い話だったなと思うんですけれども 皆様ですねたくさんのコメントを下さいましてありがとうございました。 まずお名前のご紹介をさせていただきます。 コメントを下さいました。 みなさまたくさんのコメントありがとうございます。 # コメント返しコーナー いくつかコメントをご紹介させていただきます。 まずご質問いただきましたスタンラーメンさんからのコメントです。 自宅では机の下に潜るのと玄関まで逃げるのはどちらが正しいのでしょうか。 ケースバイケースでしょうが、私のスマホは震源地、千島レッド、強い揺れに警戒してくださいのみで、 地震の到達予定時刻は分かりませんでした。 千島レッドは遠い、まだ来ない、じゃあ玄関かなと玄関に行きました。 地上であり得る地震がマグニチュード10、その地震が起こる可能性がある国に住んでいる。 震度7以上の地震の値はないのと同じで、マグニチュード9.9以上はないと思い込んでいました。 マグニチュード10の地上でもあり得る地震も起こり得る日本、常に備えるですね。 ということでコメントありがとうございます。 このですね、緊急地震速報が鳴った時にどういう行動をとるのかというのはなかなか難しいんですね。 というのが実際音が鳴ってから、本当に地震の揺れが到達するまでどのくらい猶予があるのか分かりません。 長ければ10秒、20秒、余裕がある場合もありますし、逆に直下型地震の場合には間に合わない。 音が鳴ってから1秒、2秒で揺れが到達する、そういった可能性もありますので、 なかなかこのくらいの猶予があったらこういう行動をとるということ自体がやっぱり難しいんですね。 とにかく音が鳴るのと同時にどういった行動をとるのかを決めておくことが必要になってきます。 その上で緊急地震速報が鳴った時に、机に目の前の机に潜るか、それとも走って玄関に移動するか、どっちにするのかということなんですが、 これ私個人的には玄関派なんですね。 ちょっとどちらも正しいというか正解はないんですけれども、緊急地震速報が有効になるのはちょっと離れたところで大きな地震が起こる、 そういうケースになるわけなんですが、揺れる前の数秒あったら結構距離を移動できちゃうんですね。 なので日頃から玄関でも廊下でもいいんですが、お家の中に安全ゾーンを作るということをよくお話をしています。 ここに飛び込んでしゃがんだら物が落ちてこない、ガラスが割れない、 そういう安全な場所を日頃から家の中に一箇所設けていただいて、緊急地震速報が鳴った時、もしくは地震でカタカタと小さい揺れが起こった時、 その後ドカンと来るかもしれませんので、そのまだ動ける数秒の間に廊下や玄関に飛び出して小さくなるというやり方はありじゃないかなと思うんですね。 もちろん目の前の机に潜るというのも有効ではありますが、これはいきなりすごい揺れが起こり始めた時の対処法として有効なのかなと思うんですね。 ものすごい揺れがいきなりやってきたら、基本的にはその場にしゃがむぐらいしかできることはありません。 揺れてからできることってほとんどないんですね。そういう時には机に潜るとかはありだと思います。張って潜る感じですね。 ただ、もし数秒間でも猶予があるならば、より安全な場所を目指して廊下、玄関、物が倒れてこない空間を作っておいてそこに飛び込むというのを私自身はやりたいなと意識をしております。 ただやっぱりこういうのは日頃から本当に玄関、廊下を片付けて安全ゾーンにしておくこと。 あと揺れたら即行動するというのを決めて実行できるようにしておかないとやっぱり間に合わないんですね。 緊急地震速報鳴った。どこだろう。よし、調べてから行動しよう。これだと本番が来てたら間に合わない可能性がありますので。 鳴った時にこういう行動をとる。安全行動にとりあえず飛び込む。そういったことを決めて実践する、練習するというようなところがセットでやっていくことが大事じゃないかなと思います。 これはあくまで私の考え方なんですが。 ということでツタンラーメンさん、コメントをくださいましてありがとうございます。 もう一つ、これは最近のお話でしていた情報漏洩に関するコメントをヨンニャーさんからいただいているんですが、おはようございます。 おはようございます。また情報漏洩のメールが来ました。 クレジットカード情報の一部しか漏洩していません。悪の軍団が協力して全ての個人情報を手に入れる日が来るのでは。考えすぎでしょうか。 ということでお疲れ様です。本当にこれ困るんですよね。情報漏洩のメールとかが来ると。 なんでこのコメントを取り上げたのかと言いますと、実は私も昨日ですね、メールが一通来ました。 航空チケットを買えるスカイチケットというホームページからパスワードの変更をしてくださいというメールが来たんですね。 ただ最近こういう一連の話をしてましたので、このメールは詐欺じゃないかと、嘘じゃないかというふうに私も頭から疑いまして、 何か何々の変更をしてくださいとか、それらもほぼ今嘘だと思っているんですね。 なのでそのメールをそのままAIに貼り付けまして、これって本物なのか、それとも嘘の可能性があるのかちょっとチェックしてよというふうに送りました。 そうしましたら、こいつは多分本当ですというふうにAIは言ってきたんですね。 ただまだ信じられなかったので、スカイチケットのホームページに実際にアクセスをしたところ、 パスワード変更に関する依頼のメールをしてますというお知らせが出ていたので、 じゃあやっぱり本当だったんだということで、本当だったということは漏洩しているのでよくないんですけれども、そういう判断をしました。 なのでもう本当最近ですね、いろいろお知らせのメールが来るんですが、まず最初は嘘だと思ってください。 全て詐欺、フィッシングメールだと思ってください。 で、必ずですね、そのメールに書かれているリンクは踏んじゃダメです。 それ嘘ホームページに飛ばされて、そこで新しいパスワードとか入力すると、実は嘘ピョンって言ってそれを抜かれる可能性があるんですね。困ります。 なのでそういうお知らせが来たときには、必ずその会社やサービスのホームページを自分で検索して開いてください。 そうしたら何々に関する漏洩のお知らせとか、何々に関する対応の依頼みたいなことがホームページに載ってます。 載ってたら本当ですね、さすがに。 ウェブサイトに載っててメールまで来てたら、それは本当だと思っていいと思うんですが、 もし載ってなかったらやっぱりメールが嘘の可能性がありますので、本当に嫌な世の中なんですが、基本的には疑ってかかる。 何かメール来たけど多分嘘じゃないかと。ちゃんとホームページ見に行こうと。 そういった対応することが非常に重要じゃないかなと思います。 本当に嫌ですね。本当に嫌な世の中なんですが、でもやらなきゃいけないのでちょっとやりましょうというお話でございました。 ということで本日のお話はここまででございます。 それでは皆様、次回の放送までどうぞご安全に。