# チャプター 1 こんにちは。新人類育成チャンネルへようこそ。 お久しぶりです。ゆっぽーゆっぽーです。 はい、今回もう1年、1年も経たないか。 結構お久しぶりの収録を今してるんですけど、 これというのも、最近セキュリティの話題がすごく盛んになってますね。 PSPの脆弱性から始まって、お名前.comの情報漏洩というか、 証券口座がハッキングされて、めちゃめちゃ損害が出てしまったみたいな事件から、 ものすごくセキュリティのニュースが盛んに出てくるようになりました。 ここに関しての所感と、ちょうどまた昨日、GMOの会見がありまして、 そこに関して思ったこととか、ちょっと話していきたいなと思うんですけど、 結論というか、最初に昨日のGMOさんの会見を見て思うところがあって、 そこに関して最初に話したいなと思います。 GMOさんはAIによって攻撃が増えてますよ。 だからこれからどんどんセキュリティ事故が増えていきます。 これはそういう話をしてたんですけど、これは事実だと思います。 すごく僕が気持ち悪いなと思ったのが、今回のGMOさんに攻撃が加わった原因が、 おそらく僕の見立てですけど、AI関係ないんですよね。 結構、数年前から明らかだった脆弱性を今になって突かれたということで、 内部犯の可能性とかも踏まえて考えたら、全然AI以外の攻撃、 AIが関係なく特定の破壊が、この騒ぎにPSPとかいろんな騒ぎがある中に便乗して 行ったんじゃないかなという見立てがあってですね。 というのも、結構PHPが関係してるんじゃないかと思ってる人多いんですけど、 PHPの脆弱性と、PHPの脆弱性で高市さんがツイートしたりとか、ものすごく今回騒ぎになったわけですよ。 おそらくプログラミングとかインターネットでのセキュリティに関するニュースで一番話題になったんじゃないかなと思います。 今回のPHPの脆弱性。なぜなら、このワードプレスとかで使われているPHPっていう言語がすごく視野が強かった。視野が高かった。 もう世界で最も使われているプログラミング言語と言っても過言ではないものが危ないよということで、 世界的ニュースになったわけなんですけど、それと同時期だったんですよね。 同じタイミングでお名前.comが攻撃を受けて、これに関してもまた話題になったんですけど、 PHP関係ないんですよ。AIとかも関係ないと思ってて、ちなみにPHPの方はAI関係あります。 それは後で話すんですけど、GMOさんの会見がミスディレクションっていうんですかね。 実際の起きたことから目を逸らしてもらうためにAIっていうのを上手く使っているように見えちゃって。 それは事実と違うから気持ち悪いなと思ったんですよね。 AIのせいにしてるじゃんっていうのがすごく強く感じてしまって。 実際そんなに難しい不具合ではなかったそうなんです。 要は1行ちょっと設定を変えれば今回のハッキングは起きなかったと言われていて、 それが本当かどうかは実際に攻撃した本人しか分からないところなんですけど、 その辺も会見で詳しくお話しされることはなかったんで、 それもちょっと不審感を抱くようなことになったんではないかなというところでした。 実際ね、今Xなんか見ても熊谷さんの擁護派と否定派とすごく話題になっているんですけど、 僕はどっちかというと経営者としてはすごく素晴らしいなと思います。 ただ一方、買収買収を重ねて大きくなった企業がセキュリティ対策への投資を怠った事例なんじゃないかなと、 分かりやすく見えるなと思っていて、事業を拡大するのはとてもいいことだと思うんですけど、 その反面、特にインフラとかネットワークみたいな、 多くの人の経済性に影響を与えるような会社、ビジネスをしている方、 そういう事業者は下手に買収買収をするよりも、 まず今提供しているプロダクトのセキュリティとか改善に全力を尽くしてほしいなと思いましたね。 セキュリティだけじゃないですよ。利便性もそうだし、できるだけ安く提供するとか、 そういう補着メリットに対する投資を、要は事業の幅を広げることによるシナジーもあると思いますけど、 でも明らかにそこがどちらかというと誤点になっていて、 JMOさんの買収は旗から見ていると、シナジーによってより売り上げが立つような、 それによってキャンペーンがなされたり安く売られたりっていうのはあるんですけど、 旗から見たらちょっと収益性が優先されているビジネスに見えていたので、 その辺も含めて今回セキュリティに関する考え方として、 要はJMOさんのあり方が正しいとは思わなかったなというところが僕の感想としてありました。 それは昨日の感想なんですけど、 この後ちなみに、ちなみにというか、案外こっちの方が大事なんですけど、 PHPだったり他の会社での脆弱性とか、ものすごく漏えいしているじゃないですか。 これが本来AIのコンテクスト、AIという文脈で語るべき問題なので、そっちについてもちょっとお話ししていきます。 # チャプター 2 さてね、AIでセキュリティがどうこうなっているっていうのは、 なんかね、エンジニアとかセキュリティに関わってた人じゃなくても、 なんとなく危機を呼んでいるところなんじゃないかなと思うんですけれども、 これ結構面白いことですね。 エンジニアじゃない人たちがセキュリティに関心を持っている、 ものすごいタイミングだと思います、今。 世界の常識が変わろうとしている、そんなタイミングなんじゃないかなと。 明らかに脆弱性のニュース増えましたよね。 PHPだけじゃないんですよ、実は。 Linux、OSもそうですし、Pythonとか、 いろんなプログラミング言語に対して脆弱性の報告っていうのは今なされています。 で、これなんでかっていうところなんですけど、 AIの登場が一つの要因です。 で、これPHPの件もそうなんですけど、 オープンAIさん関わっているんですね。 で、これがどう関わっていたかというと、 オープンAIさんが要は脆弱性診断を調べたんですよ。 PHPっていうプログラムの中に脆弱性がないかっていうのを、 オープンAIを使って駆使して調べた。 その結果をいろんな人たちに報告をして、 いついつこの脆弱性を世の中に公表しましょうかっていう作戦を立てていたっていうのが事実としてありました。 これって、実はこういう活動って常々行われていて、 Googleとか、オープンAIも、クラウドフレアみたいな会社もそうなんですけど、 世界をもっと安全にするために、今みんなが使っているソフトが、 いかに攻撃されうるのかっていうところを常に研究してるんですよ。 で、今ワードプレスとかもそうですけど、 みんなが使っているソフトって実は結構あるんですね。 PHPもそうだし、Pythonもそうだし、 Apacheとか、いろんなのがあるんですよ。 そういういろんなソフトウェアの弱点っていうのを、 世の中で研究している人たちがいるんです。 で、その研究の一端だったわけですよ。今回のPHPも。 それで、それが公開されました。 公開されましたはいいんです。 今回問題は、公開される前に攻撃手法が出回っちゃったんですよ。 その攻撃手法が出回ってしまったことで、 PHPに関する情報が公開された瞬間から、 ものすごい勢いで攻撃が流行っちゃったんですよね。 しかもその攻撃が、割と何でもできる系の攻撃で。 なので、ウェブサイトの書き換えとか、 顧客の情報入手集とかね、そういうのも全部できちゃう。 なので、これはやばいと。 多くの人たちが損害を被るぞということで、 サービスの停止も実さないぞ。 サービスを停止してでも、今回の脆弱性に対応してほしいというニュースが出るようになりました。 実際に、これ難しいところなんですけど、 本当にサイトを止めるべきだったのかってことに関して言うと、 僕は悩ましいところだなと思います。 これもいろいろ理由があるんですけど、 なぜサービスを止めなきゃいけないのかっていうところも、 正しく認識を持っていただきたいなと個人的には思います。 実際、ここで攻撃を受けたとしましょう。 受けたとして、何が起きるのか。 一つは、自分たちが管理しているデータベースに全てアクセスできるということになります。 アクセスされてしまう。 なので、自分のサービスのお客さんの情報とか、個人情報が流出してしまう可能性。 これが一番可能性としては大きいでしょう。 その上で、さらに少し考えたときに、 一番怖い情報って何だろう。漏れちゃう怖い情報って何だろう。 クレジットカード番号なんて漏れたら最悪ですよね。 なので、ECサイトの関係者だったりとか、 クレジットカードで何か決済している方々は、 結構不安に思ったりするんじゃないかなと思うんですけど、 基本決済はPHPのサービスとかで提供していなくて、 決済はまた先、ストライプさんとかベリトランスさんとか、 いろんな決済代行会社さんっていうのがいるんですけど、 そっち側の処理に飛ばされることになっていて、 彼らの処理としてカード決済をしているんですね。 つまりECサイトで、特定の何とか屋さんってところがあって、 何とか屋さんの方で決済をしたつもりでも、 実際のクレジットカードはその何とか屋さんには残っていないと。 そういうケースが基本多いです。 なので、ほとんどの場合、カード情報は漏洩しません。 漏洩していたとして本名と住所ですね。 本名と住所漏れたら大変ですよねってこともあるんですけど、 正直比較的リスクが少ない方。 もう一つリスク高いところで言うと、パスワードですね。 Eメールアドレスとかパスワードが両方流出したら、 何でもされてきちゃうじゃないですか。 このパスワードも流出しますよね。 サーバーが攻撃されたらって思うじゃないですか。 でも、まともな事業者ならパスワード全部暗号化されています。 読めないようになっています。 しかも、暗号化の中でも比較的強固な暗号化がなされていることが多くて、 基本的にはパスワードは絶対にバレないようになっています。 少なくとも僕が運営するようなサイトでは、 基本的に絶対に読めないようになっています。 なので、攻撃されてパスワードが漏れることもない。 クレジットカードが漏れることはない。 名前と住所は場合によってはごめんなさい。 みたいなのが基本的に多くのサービスが抱えているリスクだと思います。 そのぐらいのリスクなら飲んでもいい事業者は多いんじゃないかなと個人的には思うんですね。 これはなかなか難しいところですけど、 要は顧客、ユーザー層にとってはそんなん溜まったもんじゃないと思うかもしれないですけど、 そのリスクまでゼロにしようとするととても大変で、 もう世の中のサービスは存続できなくなってしまうので。 プラス、そういった情報漏洩は最近すごく増えてしまっているので、 もうクーポン券も保証してもらえなくなりましたよね。 名前や住所が漏洩しました。 クーポン券お詫びに渡しますみたいなニュースもほとんどなくなりました。 タイムズがこの間、免許証を漏洩したから3000円だったんですよ。 そんぐらい個人情報の価値って安くなっちゃってて。 逆に考えると、事業者としてセキュリティに投資する価値は下がっちゃってる可能性があるんですよ。 これは恐ろしいことですよね。 つまり、個人情報が漏洩したときに企業にとってのコストがあんまりかかんないんですよ。 漏洩しても大して損しないんですよ。 それよりも、今回のPHPとかの騒ぎでサービスを止める方が損害がでかいってことになるわけですよね。 これはね、いろいろ考えますよね。 これでいいのかと。 でも実際そうなってしまっているっていうのが事実です。 これがね、セキュリティ投資をする理由にもなるし、しない理由にもなる。 いずれにせよ、やっぱり正しい投資を正しくするのが一番だと思っている中で、 今回のGMOさんの件は、免許証が流出するよりも恐ろしいリスクだったんですよ。 極端なところでいうと、ユーザーのパソコンが乗っ取られるまでですね。 パソコンが乗っ取られるってことは、あらゆるパスワード、あらゆるブラウザの閲覧歴、 あらゆる投資活動とか、企業機密とか、そういうものが漏えいし得る状態にあったっていうのが事実です。 これ以上のリスクはなかなかないってぐらい、多分リスクがでかかったんじゃないかなと思います。 こういうリスクがあるようなサービスを運営しているケースって、ほとんどないんですよ。 GMOさんみたいにインフラとかネットワークとか、そういう仕事をしないとなかなかなくて、 そういう事業者がセキュリティに対してすべき投資っていうのは、やっぱりめちゃめちゃ膨大であってほしい。 めちゃめちゃ頑張ってセキュリティに対して責任を持ってほしいというのが、 まず僕らが最低限主張すべき、ユーザーとしてすべきところなんじゃないかなと。 そしてエンジニアとして気をつけるべきところなんじゃないかなと思いました。 # チャプター 3 さっきの話ぶりだとね、顧客情報なんか輸出してもいいんじゃないかと思っている。 間違っちゃいない、間違っちゃいない。 輸出して、もう企業の売上損失期待値としてゼロに近くなってしまっているというのは事実だから、 そこに関してリスクが少ないということ自体は嘘じゃないです、明確に。 ただし、顧客情報を守るというプライバシーポリシーも皆さん、どこの会社も公開していますけど、 ちゃんとお客さんとの約束の中で守りますという話はしているわけで、 その責任は必ず発生していますし、これからどんどん顧客情報の管理に関する義務は強くなっていくと思います。 というか強くしていく必要があると思います、国としてね。 そういう方針を打ち出さないとズブズブと当たり前に、ボレて当たり前だよねという風になっちゃうんで、 これは事業者というよりはルールベースで法律を変えていく必要があると思います。 これがどこまで事実に対して正しい速度感で法的了解されていくのかは、 僕は分からないところですけど、ある程度期待していきたいなと思います。 僕がね、顧客情報なんかどんどん漏らしちゃえみたいな人だと思われたくはないので、 そこだけは従々お伝えしたいなと思います。 顧客情報が資本主義の原則情報を守らなくても経済的合理性がある世の中に今なってしまっているということが 一つの社会的課題だというところをご理解いただけたらなと思います。 というところで今回のセキュリティに関するいろんな見立てをお話ししていきましたが、 ぜひ皆さん、最後にこれだけお伝えさせてください。 個人としてセキュリティ対策、何をすればいいの?これ気になっている人多いと思うんですけど、 できること少ないですよね、正直。サービス使うなとも言いづらいですし。 ただ簡単にできるところで言うと、二段階認証とパスキー認証、 この辺最近どんどん有効にしなきゃいけないサービスが増えてきました。 こういった二段階認証やパスキー認証のようなパスワードが漏れても大丈夫だよっていうような仕組みを積極的に使っていただいて 自分の安全を保ってもらえればと思います。 今回久しぶりの配信になりましたけれども、今度から久しぶりに配信してみて楽しいので、 またいろいろ投稿していきたいなと思います。また引き続きよろしくお願いします。