# AVM プラットキャンプフォーム プログラミング言語PHPに重大な欠陥 そして止まらないサイバー攻撃 私たちに何ができるのか 全世界のウェブサイトのおよそ7割で使われている プログラミング言語PHPについて 21日 極めて重大な脆弱性が2つ見つかったと発表がありました PHPは修正プログラムを公開し 直ちにアップデートすることを強く推奨しています この影響で一部の企業では 予防的なサービスの停止が行われ 私たちの身近なウェブサービスにもアクセスできない状態が 続いています 一方 先月末から相次いで報じられている企業や公的機関に対するサイバー攻撃 個人情報の流出にとどまらず ログインパスワードが不正に変更されていた 顧客の意図しない株取引が行われたなど 被害は深刻化しています こうしたサイバー攻撃を防ぐため日本政府も動き始め ハッカーに対抗する専門家 ホワイトハッカーのチームを立ち上げると明らかにしました 私たち個人や企業はこの事態にどう対応できるのか あるいは 被害が起こるリスクをある程度受け止めるしかないのか 今夜はITジャーナリスト 情報セキュリティの研究者と共に考えます 今夜のゲストをご紹介します まずはITジャーナリストの三上陽さんです リモートでのご出演です 三上さんよろしくお願いいたします 三上陽ですよろしくお願いいたします 三上さんはセキュリティネット事件 IT全般がご専門です 著書に深掘りIT時事ニュース 読み方基本が面白いほどよくわかる本があります 昨日もPHPについて解説いただきましたが 昨日から今日にかけても いろいろ情報漏洩である問題が続いておりまして 佐川の不正アクセス これが5000万件以上流出かという話や お名前.comについては 勝手に取引まで行われてしまって 朝起きたら口座が空っぽみたいな そんな反応もいくつか見られるんですね 三上さん昨日から今日にかけても大変なことが起きてますね 5000万件というのは 多分日本での漏洩の件数では 一番大きい件数なのかなと思います それからgmoさんの事例は今までの漏洩 この9月ぐらいから起きてる漏洩は 情報漏洩が多かったんですけども 具体的にお金の被害につながっているというところが怖い ただそれぞれ全然別の事例でして つなげて無理に考えちゃいけないなという感じはしております これはこれこれはこれというパターンを知りながら それぞれの備えを構えていくことが必要なんですか おっしゃる通りでどうもこのPHPのことについては 21日の夜にXを中心にパニック状態みたいな感じがございまして スマホの電源切っといた方がいいよみたいなですね デマが非常に増えたりしたので ちょっとあまり大げさに取りすぎるというところも問題なので 冷静に一個ずつ見ていく必要があると思います 今日整理しながら伺っていきたいと思います 続いて立命館大学情報理工学部教授の上原哲太郎さんです 上原さんもリモートでのご出演です 上原さんよろしくお願いいたします よろしくお願いいたします 上原さんのご専門はサイバーセキュリティ 総務省でセキュリティ確保に関する委員会のメンバーや 警察のサイバー犯罪のアドバイザーも務めていらっしゃいます 先週火曜日に上原さんにはサイバー攻撃についてお話があったんですが そこからもまたたくさん報じられるような事案が出てきました 上原さんこの1週間の動きはどうご覧になっていますか 私実は残念ながらこの1週間海外におりまして ちょうどさっき帰ってきたところなので ちょっと日本国内の細かいニュースまでは追いかけられてないんですけれども やはり何よりも大きかったのはPHPに関わるいろんな動きですね こちら私も海外で対応を強いられる場面もあったんですが やっぱり非常に大きな脆弱性というのが出ると 今回は攻撃を未然に防ぐための対応というのに 情報システム部門が非常に稼働を強いられるというような場面があるというのを 今回は本当にそういうことが起きるんだということが 皆さんに知れ渡った1つ時代の節目みたいな事件だったのかなと思っております 今日はそのPHPの話からじっくり伺っていきたいと思います まずはこちらから プログラミング言語PHPの重大な欠陥 その影響と今後 PHP 上原さんまずはこれどういったものだというふうに理解しておけばいいでしょうか 皆さんご覧になっているウェブサイトというものがあるかと思います ウェブサイトには大抵何か入力するといろんな動作をするような仕組みが備えられている場合があって これはウェブアプリケーションという言い方をします このウェブアプリケーションを作るためのプログラミング言語やシステムとしては PHPというのはかなり死に性でして もう30年ぐらいの歴史があるプログラミング言語とそれを動作させるためのシステムです ウェブページというのは作るためにHTMLと呼ばれる言語があれば一応形はできるんですけれども この入出力をやろうと思って後ろにプログラムが必要なんですよね そのプログラムを書くためのシステムとして今メジャーどころはPHPとあとJavaScriptを JavaScriptってブラウザでも使うんですけど裏側でも使うという仕組みと あといくつか細かいシステムもあるんですけれども この2つが割とメジャーな言語でして このうちのPHPというもしかしたらこの手のシステムの世界の半分ぐらいはこれなのかなというような仕組みに 大きな欠陥が見つかったということですね 先ほどただサイトを作るだけならHTMLのいろんなタグをベタベタしっかり書いていけばサイト側はできると ただ入出力の際にはPHPなどが必要だという話がありましたが このウェブサイトにおける入出力って一体どういったことなんでしょうか 例えば皆さんクリックされたりですね文章入力されたり なんかデータ入力してポチッと投稿みたいなのされますよね そうするとそのデータを一度ウェブサイトのサーバー側に送って受け取って 新しいウェブサイトを作ってそれが単にHTMLを作るということになるんですけれども それをブラウザに送ることで画面が変わるというそういう仕組みで出来上がっているわけですよね そのやり取りをするためにはプログラムが必要ですけど そこで使われる言語の中ではメジャーどころで 最近ですね一番よく使われるようになったのは 皆さん昔はそれこそHTML1から書いてウェブサイト作ってたんですけど 最近それはめんどくさいというのでそういうのを自動的に作らせる仕組みというので ワードプレスというのが非常に流行ってですね ワードプレスというのを使ったウェブサイトおよびウェブサイトを管理する仕組みっていうのが広まっているものですから このワードプレスを作ったの後ろにPHPがありますので このPHPがやられることによってワードプレスで作られたウェブサイトが攻撃されてしまうということになるのが一番心配されたことです いろんな企業とか個人がウェブサイトを持ちますよね そのウェブサイトを更新したりこんなデザインにしたいなっていうときに 一個一個命令文とかコマンドを書くのではなくて タイトルこれデザインはこれっていうふうに更新するとあっという間にその側が丁寧に作られるので いろんなブログサービスなどのメジャーどころの一つというかここにワードプレスになってますね そうですねあとこのワードプレスというのは拡張機能がいろいろ充実してるので 例えばその拡張機能をちょっと入れるだけで自分どころのお店のショッピングサイトみたいなのを作れてしまったり 入れちゃってるんですよねそのせいもあって非常に多くの方が利用されてる 今本当に一番メジャーなそういうウェブ管理システムになってしまってますね 三沢さんこのPHPというものについての理解他にどんな補足などが必要だとお感じですか もうそれこそ1990年代から一番簡単だしほとんどプログラミングの所有のない私のような素人でも ちょっと簡単なリクエストだったらかけちゃうみたいなところで手軽なんですね あとオープンソースでございますファウンデーションという中央組織があってそこに皆さん任意で入ってる 育ててる人たちが運営してる中身が全部公開されてるんでね非常に安心して使えるねというところです これあまりここで言いたくないんですけど私のウェブサイト個人のウェブサイトもワードプレスでございまして 早く止めなきゃいけないなと思いつつですねこのPHPの騒ぎが起きてから48時間ほぼ寝ずに働いておりまして うちの私のワードプレスを止める時間がないみたいなところでございます 絶対言わないほうが良かったなんじゃないですか 言わないほうが良かったですね今言って公開をいたしましたちょっと言わなければ良かったと思います ちなみに自民党の小林政調会長この方は今日は自分のページ止めたというふうに言ってるんですが 実はこの方もワードプレスだったんですよですのでワードプレスの後ろにPHPが動いて ワードプレス自体がPHPで動いているというものでございますのでそのために止めたというところですね なるほどこれそのPHPの重大な脆弱性が今回2件発見されたということで 全世界にその対応を呼びかけざるを得なくなったということになります この呼びかける経緯にも本当にいろんなゴタゴタがあったということですが そもそもこの脆弱性とはどういったものだったのか上原さんいかがでしょうか はい脆弱性というのは一般的にいわゆるソフトウェアの誤りのバグの一種だとお考えいただいたらいいと思うんです バグというのはプログラムが思いもかけない動作をするというものですけれども これをうまく攻撃者が使うとこのシステムの乗っ取りみたいなにつながるような 非常に利用者にとって困った動きにつなげることができることがあります こういうのをセキュリティ上の脆弱性というふうに呼びます PHPはすごく古いプログラムなのでもちろん今までもたくさんそういう脆弱性が見つかっていて これはもうできるだけ潰していくというのは長く行われてきたんですよね なのでそんなに深刻なのはあまり残っていないはずだったんですけれども それはやっぱり大したもので最近非常に高度なAIが出てきたということで AIを使った改めての検査をされたそうなんですが 検査をした結果ちょっと人ではここまではのものは思いつかないなという複雑な入力を繰り返すと このPHPを突き抜けて PHPって普通OSの上に乗っかっているわけですけど OSに辿り着けちゃうと OS側の機能を自由に使えるようになっちゃうと その結果例えばPHPを取り除いたり 勝手にいろんなファイルを置いたりすることができるようになるというような脆弱性が発見されたので これは大変だということになった ただPHPファウンデーションはもちろんこれを自分と協力する会社と調べ上げたんですけど これをすぐ公開はできないので修正の仕方をよく考えて これをどうやって配るかというのを考えて いつこれを公開しましょうということも全部段取りをして それを本来は日本時間で言うと22日の23時に公開をするような段取りを進めていたんですよね ところが20日になってそもそもこういう脆弱性があるらしいという情報が漏れ始めて 一部は動画が出回ったり実際に攻撃する様子が分かってしまったりしたので これは大変だという前倒しが行われたんですよね 24時間前倒しされて日本時間で言う21日の23時になったと 困るのはこの辺の脆弱性を修正するためのプログラムが流されると どこにバグがあるかがバレちゃうので攻撃者はそれを見て ここにバグがあったんだと攻撃を始めちゃうんですよね それがしかも最近AIのおかげですごくスピードアップしているので これはまずいんじゃないかと言って皆さんに呼びかけられたのは とにかく公開されたらすぐに対応してくださいと 攻撃がやってきますという警報みたいなものだったんですよね これがいろんな人に伝わってSNSの最近の効果もあって かなり急激に拡散したがために先ほど三上さんがおっしゃったような パニックに近い状況が起きたというふうに思っています 実際このリークというものは一体どうして行われたのか それに対する現場やセキュリティの専門家からの反応はどうだったんでしょうか もちろん現場が悪意があったとは思わないんですけれども いくつかの手違いや行き違いがあったんだと思うんですが 本当はコントロールされるべき情報が漏れちゃったというので 怒っている人はたくさんいて 実はPHPファウンデーションのほうは つい最近実際に情報漏洩をした企業をやや非難するようなことも言っていますし 世の中的にはちょっととんでもないタイミングで公表されちゃったものですから 寝る間もなくなっちゃったわけで 現場の反応は大きかったですね またこれに対しては例えば高橋総理が本人アカウント 本人アカウントというか何のアカウントなのかという 政府の説明がよくわからないんですけど とにかく高橋さない名義のアカウントで PHPについて大使よろしくお願いしますという そういった発信もあったりして より警戒感が高まったという点もあったと思います こういった具体的な脆弱性についてのコミュニケーション方法 ここにはいろんな課題もあるかと思いますが 上原さん今回どう振り返りますか もちろんこの脆弱性のハンドリングというふうに我々言いますけれども 脆弱性情報を知ってしまった人が誰にどう伝えて それをどういうふうに開発に責任がある団体や会社と 世の中に修正方向を含めた公表するかというのに関しては 日本にも割と政府が定めたしっかりした枠組みもありますし 世界的にも一応決まったフレームワークがある中で それの通りやられていれば そんなにミスは起きないんですけど ただ残念ながらですね たびたびこういうことは実は起きています 途中で情報漏洩が起きちゃうということは起きていて ただ今回は脆弱性の性質が非常に重大だったので お騒ぎになったので ちょっと何らかの格好で改善できたらいいなとは思っています 三上さんは今回の混乱を取材されていて どんな課題をお感じになりましたか まずは私は高市首相のツイート ポストですね 投稿これが21日の21時 確か修正プログラムが出る1時間前か2時間前に投稿した で注意喚起です 大支給ですという まあなんか首相が出すとは思えない びっくりの投稿をしたという これについてはですね パニックになったんじゃないかみたいな批判も今出ておりますが 私はこれ大正解だったと思っております あのアナウンスが出たことで夜中になっても 担当者はあたふたしましたが トップの人たちがこれは何とかせなあかん PHPの脆弱性大変なことなんだねという認識を取り始めたので 皆さん動き始めた それともう一つ高市首相のですね あのポストの中ですごく偉かったのは止めていいんだって言ったんですよ 今回はその脆弱性があります 脆弱性は直すのにね 多くの企業多くのサービスは動かしながら もしくは短いメンテナンスでいいじゃんっていうことを 普通は言うことが多いです それは経営者でありトップであれ だけどもその脆弱性に対する対応ができないんであれば 止めていただくことも考慮してくださいっていうふうに書きました あのおかげでね止めちゃえと思う企業 今までねウェブサービスそれからネットサービスは 24時間365日で動かさなきゃいけないっていう 意識がちょっと変わって止めておきましょうっていうことを みんな言えるようになったので良かったなというふうな捉え方 良かったなと言っている関係者もいると 緊急性のグレードを上げたというアナウンス効果が一つと もう一つは具体的手段として現場から提案されても 場合によっては経営から切られるような そんなサイトを止めるなんて何事だと言われるようなところに対して 説得の道具を一つ与えたということですか 本当にその通りで あれのおかげで安全対策を取るために 余裕を持って止められたっていうのは大きいと思います すごい私事なんですが 21日の高市首相が出るまではですね 各メディアや各ニュースサイトの方々も いつもの脆弱性とセキュリティのいつものことねって言ってたのが あの高市長のポスト以降みんな目の色が変わってですね テレビさんのいろんな番組もすげー夜中に走り始めたって なんでメディアの対応メディアの情報の取り扱いというのも あれでパッと切り替わったというのは 良かったんじゃないのかなと私は思った これまた政府広報の方法であるとか どういったメッセージをさらにブラッシュアップするかなど いろんな材料があるなと思います 上原さんは今回のメッセージコミュニケーションいかがでしょうか そうですねあのやはり本来はですね あのいわゆるこういう脆弱性情報っていうのをどのように伝えて 各業界がどのように動くかっていうのは セキュリティみたいなのを確立しなきゃいけないと思うんですよね 今あのいわゆる政府や政府に近い団体としては 例えばIPAとかですねJPサートというところが この手の脆弱性情報をですね 出す仕組みというのは整っていて これは技術者の間ではよく知られているんですが ただあの今回確かに三国さんがおっしゃるところで 一つ大きなポイントだったのはですね 高市長が言ったことによって 敬意に響くような広報が行われたっていうのは まあいわばあのそうですね 今までちょっと抜け落ちていた経路が ここで確立するきっかけになるのかなというふうな気もしていますね 今まではですね技術者にまず伝えて 技術者からシステム管理部門が 経営者にこういう重大な事案があるので もう止めなくてはいけませんよっていうふうなことを申し上げると というところが経営がそんなことはできるかみたいな 跳ねのせるみたいな場面があったわけですけれども 経営者にもですね言ったら今は赤信号が灯っているので システムを止めても良いみたいな あの脆弱性のまああの候補ルートみたいなものも もしかしたら考えても ほうがいいのかもしれないなというふうに 今回は感じました そのチャンネルの確立というのもまた必要となってくるんですね 今日のPHPなどに関して様々質問 それから対応影響見るいただけるのでご紹介します はいラジオネーム桜姫さんです ありがとうございます うちには中学3年生の受験生がいます 先日の保護者会で高校のホームページがPHPの影響で 入ることができないと言われました 栃木県では入試の申し込みから全てネット上で行います 手続きは11月からになりますが 影響が長期化すると入試に影響するのではないかと 不安に思っています そこまで長期間に影響することも考えられるのでしょうか といただきました ラジオネームモルトさんからでもいただきました ありがとうございます 私は仕事や生活にネットが関係することは少ないので あまり影響はありませんでした ただネット連載の漫画が木曜日更新で 前回からの山場が読めないという じれったさに振り回されました 幸い午後1時で復旧したのですぐ読めました 復旧に尽力されていたエンジニアの皆さんに 感謝ですといただきました 北海道千歳市のパクさんさんです ありがとうございます 世の中でPHPと言われていますが まずそれが何を指し示して言っているのか とても入り乱れて混乱しているようです PHP言語の脆弱性などと懸念するマスコミも多いのですが それって日本語に脆弱性がある などと言っているようなものです 言語そのものではなく 言語を解釈しその言語の命令を実際に動かすための サーバー内で動いているプログラム群があり そのプログラム群の中に配慮不足な部分があったため 脆弱性となってしまったという話ではないでしょうか PHPはどこかの会社の所有物ではないという点も なかなか理解してもらえない話だと思います PHPという言葉の理解やプログラム ウェブサイトいろんなものの理解が人によって随分違うので 多分そのタイミングごとに コミュニケーションのつまりというものも 生じるんだろうなというふうには思います 上原さんいただいたメールいかがでしょうか なかなかいろんなお悩みがあったんだな というのを拝聴いたしました まず影響が長引くのでしょうか というようなお話がございましたけれども 実際は今回のPHPの脆弱性修正は これがシステムに与える影響そのものは 小さいと思われるので 最新のPHPで動いているシステムに関しては ほぼ影響はない すぐに対応ができる程度だと思います ただ今回見られますのは 今回大きな脆弱性というのが見つかったことで 実はPHPのバージョンが どんどんどんどん上がっていってるんですけれども 古いバージョンのPHPを 今も実は使っていたというところがあって そこは脆弱性があるかもしれないけれども バージョンアップをすると システムが動かなくなるからという理由で そのまま古いまま使っていったような ところがあるんですよね そういうところは実は脆弱性を修正しようとすると まずPHPのバージョンを上げるところから 始めないといけないと これがすごく手間がかかるので 止まっているところがあるということが言われています 実際それでバージョンアップを諦めたために サービスを突然終了してしまった ゲームなどもいくつか出てまして こういうところにも影響が出るんだというのは 非常に大きな教訓だったなというふうに思いますね あと最後のお便りにあった PHPという言葉の使われ方が確かに雑というか いろんな捉え方してるということですけど おっしゃる通りでPHPというのは プログラミング言語にすぎませんが 同時にそのPHPというプログラミング言語を動かすシステム インタープリターと呼ばれますけれども そのシステムのことも指します なのでPHP言語の脆弱性というよりは PHPの脆弱性と言ってしまった方が 正確な言い方なのかなというふうに思います 各現場でさらに説明するためにも 非常に大変な思いをしたという方も いると思うんですよね こういったメールもいただいております こちらはラジオネームいつもくたくた茶穂さんです ありがとうございます 私はシステム開発に関わる仕事を長年しているものですが 今回一般のニュースで大きく報じられたこともあり 昨日は担当するあらゆるシステムについて PHPは使っていないかという問い合わせを受けました ただ私の仕事では 企業向けの業務システムなどを担当することが多いため PHPの今回の脆弱性対策は 一つのシステムだけで済みました コンパイル言語かどうかという違いもありますが もしPHPではなく 例えば企業向けシステムでよく使われる Javaや.NET または組込み機器で使われるC言語のコンパイラなどで 同様の脆弱性や不具合が発見された場合 どのような影響があるのだろうか 同様の周知方法でよいのかと思いました 別の言語や別の仕組みだとどうなっていくのか 上原さんいかがでしょうか 実は今回で言いますと 今回問題になったPHP以外に Javaの使ったプログラミング いわゆるライブラリとかフレームワークとか呼ばれるもので TOMCATという有名なものがあるのですが こちらにも大きな脆弱性が見つかっていて 今問題になっています これはPHPよりもさらに 普通の方や経営の方には 一体それは何であって どういう影響が考えられるのかという説明が難しいのですが 一言で言うと TOMCATを使っているJavaで書かれたプログラムが この影響を受けてしまって 同じようにシステムのノートにつながるようなことを 引き起こしてしまうということが言われており なおかつ実際にシステムを使っている人も Javaを使っているということは分かることはあっても TOMCATを使っているかどうかは ぱっと見分からないのです なかなか地雷のように 世の中に埋まってしまったのではないか 少し心配しています どういった団体が どういった応答責任を持つのか などによっても またコミュニケーションの仕方が変わってくるかと思います 続いてのテーマに行きたいと思います こちらです 止まらないサイバー攻撃 私たちに何ができるのか 連日サイバー攻撃のニュースがありまして 今回はここ 自分も対象だ 今回はここ 使っていないけど 今回はここ そんなサービスもあったのか そうしたものに振り回されるような状況になっています サイバー攻撃が続いているということ あるいはその情報流出の発表が続いているということ 上原さん最近の動向はいかがでしょうか 最初のコメディに 三上さんがおっしゃっていたように いろんなことは起きているんだけど それぞれは別々の事象ですよ というのはおっしゃってましたけど まさにその通りで 今回も連日伝えられてますけれども その中にはソフトウェアの作りがもともと弱かったのが 今までたまたまバレてなかっただけというようなものもあったり あるいは非常に高度な攻撃が行われたんじゃないのか というのがお伺いするものがあったり バラバラなんですよね ただいずれにせよ総量として攻撃がすごく増えてるなというのは これは残念ながらAIの影響というのを 認めざるを得ないなというのが原因なんですね 三上さん特に最近の攻撃の中で注目をしているものはいかがでしょうか 一つあるのはですね いわゆるコスモ証券の不正アクセスでございます これ情報漏洩は4000件から5000件という形ですが 問題はですね7件の取引 実際の株式取引が成立してしまった しかも今回その持ち主ご本人のパスワードは漏れていないんですね これアゴ化されたパスワードすらも漏れていない でもなんで注目成立したのかということがちょっと分かってなくて なんでこういうことが起きているのかというのが本当に分からなくて不安だというところです あともう一つですね GMOがやっているあるサービスこれはFX 為替の先もの取引に近いものですね これをやっているサービスが不正アクセスを受けた これについてはですね乗っ取られて 勝手に何百万も使われたという報告がSNSで上がってる状態です 詳細はまだGMO側から細かいところ あの被害が出てるということは出てるんですが細かいことが出てないので 今回残念ながらこういうふうにですね 細かいデータが出口がわからないので なかなか何を対策していいのか 我々ユーザーなり我々一般の人間がですね どこまで警戒していいのか分からないところがちょっと不安であるというところですね いろいろな攻撃それから今言ったような株の売買 FXの取引などまで行われたり あるいはその口座などが選ばれたりということも注目をされました 上原さんは注目の案件などはいかがでしょうか はいあのまあ先ほどもありましたけれども その岩井コスモのようにですね その金融機関に対する侵害っていうのが まあポツポツと見えてきてるっていうのは注目をしています GMOの刑もそうなんですけれども なんといっても攻撃者の最大のですね その目標ってのは金銭目的だというところがありますので もちろん個人情報漏洩もですね問題ではあるんですけれども これから直接マネタイズするっていうのはなかなか難しいところがあるので 一般的にやっぱり直接お金が狙えるですね 金融機関をだんだん狙うようになるんだろうなというふうに思っていますので それがいよいよ始まっちゃったのかなというようなところを気にしてまして 特に先ほどもありましたけど岩井コスモ証券の手口っていうのは ちょっとよく調べていただかないと大変なことになるなというふうに思っています もうフォアハンガーでいかねないですからね 銀行などのネットバンキングっていうのはどうなんでしょうかリスクは もちろんネットバンキングでですね そのお金を奪われるリスクっていうのはありまして 今までですと主にあったのはですね 企業のですね持っている取引向けの口座でですね パソコンにですねいろんな格好で乗っ取りを仕掛けましてですね 企業側からの大きな口座に対する取引を奪って 送金をしてしまってお金を奪うみたいな手口がよく使われていました ただそれに比べるとですね 今ほとんどの個人の方ってネット取引はですね スマートフォンでされる方が多いと思うんですよね スマートフォンは比較的安全な方法が取られているので あまり心配しなくてもよいのかなというふうに思いますが パソコンを使ってやってられる方はですね まず真っ先に気をつけなくちゃいけないのは ウイルス対策をしっかりしておいていただかないと ウイルスで遠隔でですね 攻撃者にその取引の様子を盗み見られてですね そういうことにされるみたいな攻撃が今までもありましたので まずどちらかというとパソコンを今使って取引をしているよりは スマホでしていただいた方が安全かなと思います またその影響についてたくさんメールもいただいております そちらを紹介していきたいと思います こちらはラジオネームミーネさんからいただきました ありがとうございます 私もタイムズカーの一件で 本人確認書類の画像などが漏れたうちの一人です 個別の連絡メールが届いたのは 9月25日の公表から4日後の29日の夜遅くでした 生成AIに相談し接続にかなり手間取りながら 信用情報機関への本人申告コメントの登録を済ませて現在に至ります 事業者も対応に追われざるを得ないことは理解しますが 被害の及んだ利用者とのコミュニケーションが不足していると強く感じます 事業者には利用者がすべきこと 必要な対応を分かりやすく示して不安解消を図ってほしいです ラジオネームねるる猫さんからいただきました ありがとうございます 私の地元の市では気象に関する情報や熊の出没情報など 災害メールに登録することで知らせてもらえるんですが 先日のサイバー攻撃の影響で一時メールが送られてきませんでした サイバー攻撃の影響がこんな身近なところで起きるんだなというふうに驚きました というふうにいただきました 続いてラジオネーム黒こんにゃくさんです ありがとうございます パスワードについて質問です パスワードの使い回しをやめるようにと言われていますが すべてのパスワードを違うものにすべきでしょうか いくつかの違うパスワードだったら使い回してもいいのでしょうか サイトによっては3回パスワードを間違えるとロックされることもあるので パスワードを増やすほど可能性が低くなるように感じます といただきました いろいろメールいただいておりますが 三上さん気になるメールいかがですか はいパスワードの部分ですね 我々100個も200個もパスワード管理しております そうすると昔の知識で覚えられないから使い回しをしちゃう 使い回しをしてしまうと実はそれが漏えいした場合に それを入手した人がこいつもしかしたら利用してるかもしれない メールアドレスとパスワードのセットでいろんなサイト試してみようぜ はログインできちゃったっていう攻撃が多いんですね パスワードリスト型攻撃と呼ばれるもので なのでパスワードで一番怖いのは使い回しなんですよ なので使い回しは絶対ダメっていうのが大原則なので 一個一個別々のものにしなくちゃいけないです その時に重要なものから変えていけばいいんですけど いや重要なものだけ別々になって あと他はね同じものでいいじゃんと思ってる人が多いんですが これも本当はやめるべきです ってのは今ですねパスワードは覚えちゃダメです 自分でも覚えらんないぐらい複雑なものにして 覚えらんないパスワードはスマホパソコンブラウザ こういったものが記録してくれますから そこに記録しておけばいいよね そしたら一個一個別々だったり とても覚えらんないものにしても対応できるということだと思います このパスワードについては上原さんいかがですか はいあの三上さんおっしゃったようにですね もう先はもうパスワードはパスワードマネージャーとか呼ばれる そういうそのパスワード覚えてもらう仕組みに覚えても困せることにして であのもう自分で覚えないと言っても使うべきだろうというふうに思いますし またそれがうまくいかないような場合はですね 一つの方法はもうパスワードを毎回リセットしたらどうでしょうという あのパスワードのあの忘れた人はこちらって言ってメールに届いたりするやつですね あれを使ってもうメールについては必死で守るんだけど もうパスワードについてはもう年に1回しか使わないようなサイトってのもたまにありますよね そういうのはもうそれでいいんじゃないかというふうに思います あとあのまあ古典的ですけど紙に書くっていうのも悪くない方法ですね 今やもう逆に 紙に書いてその代わりその紙を絶対なくさないとか人に見られないとか いうことに気をつけていただくということです 各社はパスワードを使わなくて済む方法に段々移行する動きがありますので こういうのが使えるサイトについてはそのパスワードを使わずに ログインできるパスキーですとか あとパスワードに加えて二段階認証というやつを使う こういうふうにしていただくといいんじゃないかなと思いますね いろんなパスワードをスマホのメモ機能にメモしてるっていう方も結構いると思うんですけれども 実は危険だという話も聞いたことあるんですがそれはいかがですか あのパソコンだとですねやっぱりウイルスに持っていかれちゃったりすることあるんですよねそのメモ帳 あとまあスマートフォンでもメモをやっぱり見られたり 取られたりしないようにすることが結構大事かなと思うんですけど もうそれしてもいいかもしれないと思うように最近はなりました おしげが変わりつつある 最近スマートフォンかなり頑張ってセキュリティ高めているので うっかりよそに送ったりしないようにしてください ラジオで仮面にメモするのいいぞって言ってたぞって言って 職場のポストイットとかにデラッと貼ってそのまま放置っていうのは変わらずダメですね それはダメですそれはやっぱり人に見られるので フルアクセスフルオープンっていうことになりますもんね こういった様々なセキュリティ状況を改善するためにということで 一つは赤澤経済産業大臣がホワイトハッカーの集団を作ると オフホワイトハッカーと呼ばれる人材を集めるんだということも発信しています こうした動きは上原さんいかがですか これは独立行政法人情報処理推進機構っていうところがあって これまでにも何かあった時に 企業がそういうサイバー攻撃にあった時に駆けつけますよっていう レスキュー隊みたいなものこれJクラットって言うんですけど そういうのを作ってたりしてたんですよね それに付け加えるような動きになってくるんだろうというふうに思います この辺が弱そうだぞすぐに直さなきゃいけないぞっていうのを 教えてくれるような組織というのを作ろうと ただこれは本当は各企業がやるべきお話でレッドチーミングという言い方をしますけど 自分の会社のシステムをこういうホワイトハッカーをお願いして 一旦攻撃してみてどういう侵入のされ方があり得るのかというのを試してもらうっていうのも 各企業さんの取り組みとしてぜひお願いしたいということですね 三上さんこのオフホワイトハッカーって何ですか ホワイトハッカーと本当のハッカーとの間ぐらいっていう感じで かなり内情が分かっている 例えば今回のPHPの騒動だとリークをした研究者というのがいたりするんですけど そういう内情も理解してそれも追っかけてやる 例えばそのリークというのは普通の掲示板に出てきちゃうわけで わざわざ大きな公の団体が追わないわけですけども 研究者もしくはマニアサイバーセキュリティでも何らかのマニアっていうのがいるので そういう方々が言ってることもちゃんと話を聞こうねっていう意味で オフホワイトハッカーと言ってるんだと思われます こういった情報のプロなどがしっかりと公的な仕事に携わったり 公的なアクションをできるようにするためにどうすればいいのかということもすごく大事なテーマですよね さらに論点広がりましてということでこんなメールもいただきました ラジオネームピースライダーさんです ありがとうございます 自分はタクシー運転手なのですが 今回の騒動で思うのは数年後に自動運転の車が都内を走り回るようですが 走行中に乗っ取られて制御不能になることはないのでしょうか もらい事故なども含めていろいろ心配です よくあるジョーク動画みたいなものでは 運転していたら画面中にエラー画面が出て前が見えなくて事故に遭うというものがあったりしますけど それは当然起こり得たりするのでどうするかというのはありますよね それからこんなメールもラジオネーム肉団子さんからは 将来一旦一旦大半の情報が紙媒体保管に戻る可能性はあるでしょうかとありましたが 上原さんの指摘のように紙のメモをまた見直すべきかなという点も中にはあるかと思います 原点回帰 そうですね その中で一旦サイバー攻撃に対して個々人やあるいは社会で何をすべきなのか 上原さんは今後注目点いかがでしょうか 一番大事なのはですね もちろん皆さんご自身の身を守っていただくために パスワードを使いましょうみたいなことはやらなくちゃいけないと思うんですけど 今はとにかく企業が頑張るフェーズだと思うんですよね 各企業のシステムを自分で守っていただくということのために 何ができるのかっていうのが今はとても大事になってきているというふうに感じます そのためのですね いろんな制度とかですね 仕組みみたいなものを整備するのが 国の主なこれからの仕事になってくるんじゃないのかなというふうに思っているんですけど 三上さん今後の注目などはいかがですか 大企業はできたとしてもですね 中小企業や個人ができないという問題がやっぱりあって そういうときにサプライチェーンっていうんですか いろんなものを例えば生産したりサービス提供するときに 大企業本体はいいけど取引先委託先 こういう弱いところからチェーンが切られて ここでサイバー攻撃を受けちゃって 大企業に行くってパターンがすごく多いんですね なんでこれは私ね大企業さんがその取引先 それから下請けさんそういったところとのコミュニケーションを密にしていただいて サイバーセキュリティどこまでやってるっていう話具体的な話をして そういうところある程度安全性を担保 統一のもの担保するというようなことを 皆さんやっていただく必要があるかなと思います 今夜はプログラミング言語PHPに重大な欠陥 止まらないサイバー攻撃私たちに何ができるのかと題して ITジャーナリストの三上陽さん 立命館大学教授の上原哲太郎さんとお送りしました ありがとうございました ありがとうございました ありがとうございました このプログラミング言語PHPその脆弱性などをめぐっての様々な混乱の話と それからこの間ITに出る情報漏洩であるとか あるいは様々なサイバー攻撃の余波 いろんなユーザーのところにも影響が相当出ているという声になりました 朝起きると何が漏れたって言って自分じゃんとか いや本当にこれも使ってるあれも使ってるってなりますよね そうですねそれに対しての対応がやはり追いつくような状況をしなくてはいけない いや対応が追いつくとは何かというと当然ながら漏れるとか 脆弱性とかそうしたものはこれからも出てくることになるわけですけれども 相当に広い範囲での悪用がされるよりは対処がより進むとか 被害が最小化される状況を作っていくことは必要だと思うんですよね そのためには例えばPHP言語の話で言うと その脆弱性についての公表の仕方それからそれの関係機関の連絡の取り方 あるいはどのアカウントをフォローしておけばその情報がしっかり来るのかとか そうちゃんと情報が入ってくることも大事ですよね 一種の災害のような格好でこれからも起き続けていくということを 念頭においてできることとそれからしてもらうこと この辺りの整理理解必要だなと思いますね