Signal
📡 Signal｜国家サイバー統括室、相次ぐ漏えいで攻撃側の AI 使用の可能性を指摘
国家サイバー統括室が事業者向けに対策文書。漏えいの原因に基本対策の不足を挙げ、攻撃側の AI 使用の可能性に言及した。
内閣官房の国家サイバー統括室は 11 月 5 日、ウェブサイトやモバイルアプリを運営する事業者に向けて、個人情報の漏えいにつながる不正アクセスへの対策を求める文書を出した。相次ぐ漏えい事案の原因として「自組織又は委託先における基本的な対策」の不足を挙げ、攻撃者が標的の調査や侵入に AI を使っている可能性が高いと書いた。
政府の文書が攻撃側の AI 利用に踏み込んだことで、問われるのは個別企業の不運ではなく、日本のサイトを丸ごと調べて回る攻撃にどこまで基本で耐えられるか、になった。国内では 10 月末からメール配信会社アララへの侵入を起点に、銀行・小売・自治体まで被害の公表が続いている。文書の中身と、事業者に何を求めたかを確認する。
統括室が確認した 3 つの原因
文書は冒頭で、政府が確認した事例に共通する原因を 3 つ並べる。
- モバイルアプリ開発時のセキュリティ対策の不足
- ウェブサイト等の設定の不備
- サポートが終了したソフトウェアや、既知の脆弱性が未対策のソフトウェアの使い続け
いずれも新しい攻撃手法ではない。文書は「自組織又は委託先」と主語を広く取り、自社だけでなく外に出した業務の管理まで原因に含めた。個別の事案名は挙げていない。
具体例も書かれている。インターネットに公開された管理画面が、推測されやすい認証情報や総当たり、認証回避で破られた。本来は外部に出すはずのないデバッグ用の機能や管理用の接続口が、外から届く状態になっていた。どちらも、点検すれば見つかる種類の穴だ。
AI が変えたのは「低いリスク」の足し算
文書の核心は攻撃者の動き方の記述にある。攻撃者は日本のウェブサイト等を標的に大規模な調査を行い、侵入方法が見つかったサイトに入って個人情報を盗んだとみられる、とする。そのうえで、標的の調査や侵害に AI を使用している可能性も高いと書いた。
文書はもう一歩踏み込む。AI が悪用されたことで、これまでの脆弱性診断では比較的低いと評価されたリスクでも、組み合わされることで侵入の原因になった可能性のある事例もみられる、という指摘だ。個々には「低」と判定されて後回しにされてきた設定の甘さが、機械による総当たり的な組み合わせで入口に化ける。診断で「低」と付いた項目を放置する運用そのものが、前提を失ったことになる。
攻撃の大規模化が容易になった結果、事業規模の大小を問わず幅広い事業者が攻撃対象になっている、とも書く。大企業だけが狙われる時代の守り方では足りない、という認識だ。
求めた対策は運用・設計・委託先の 3 層
対策は大きく 3 つの段階に分かれている。
- 運用・管理段階 — 使っているソフトウェアの構成とバージョンの把握、外部に露出した機能の棚卸しと最小化、AI も使った継続的な診断と監視
- 設計・開発段階 — 設計の最初から安全を組み込む「セキュリティ・バイ・デザイン」、アプリが使う API の認証・認可の強化、公開前の脆弱性診断
- サプライチェーン — 委託先の接続経路の保護、オープンソースの部品の管理、ソフトウェア部品表 (SBOM) の提出と確認
実際に悪用が確認された脆弱性を優先する目安として、米 CISA の KEV カタログを名指しした。API の項では、公開アプリを解析して裏側の API の穴を突く「A2B 攻撃」を、情報通信研究機構 (NICT) の注意喚起として引いている。
防御側の AI 利用にも一節を割いた。攻撃経路の探索や大量のログの横断分析に AI の導入を積極的に検討するよう求めつつ、評価結果は根拠を確認し、最終判断は人が行うと線を引いた。
委託先の節は、個人情報保護法第 25 条の委託先監督義務に触れたうえで、委託先に対策を求める際は費用負担を協議し、取引上の地位を使った一方的な押し付けにしないよう留意を求めている。漏えいの後始末を発注元が負う構図を認めながら、下請けへのしわ寄せにも釘を刺した形だ。
次に見るもの
確認先は二つある。一つは国家サイバー統括室の報道発表ページで、今回の文書を受けた業界団体向けの通知や続報が出るか。もう一つは、アララの侵害で名前の出た企業の第 2 報・第 3 報だ。各社が原因の説明で「委託先」「設定」「既知の脆弱性」のどれを挙げるかで、政府が並べた 3 つの原因がどこまで当てはまるかが見えてくる。
関連: アララのメール配信に侵入、最大約380社・7,700万件に拡大
ことば
- 国家サイバー統括室 — 内閣官房に置かれた、政府のサイバーセキュリティの司令塔。旧 NISC (内閣サイバーセキュリティセンター) から改組された組織で、今回のように事業者向けの注意喚起も出す。
- アタックサーフェス — 外部から攻撃を仕掛けられる入口の総体。公開中のサーバー、管理画面、API などを指す。使っていない機能が開いたままだと、それだけ入口が増える。
- SBOM (ソフトウェア部品表) — ソフトウェアに組み込まれた部品 (オープンソースのライブラリ等) とバージョンの一覧。新しい脆弱性が公表されたとき、自社が影響を受けるかをすぐ照合するために使う。
🔗 一次ソース