内閣官房の国家サイバー統括室は11月5日、ウェブサイトやモバイルアプリを使って個人情報を扱う事業者に向け、不正アクセスへの基本的な対策を改めて徹底するよう促す注意喚起を出した。相次ぐ情報漏えいについて、攻撃者が標的の調査や侵害にAIを使っている可能性も高いと指摘した。総務省も6日、所管事業者と関係団体に同じ内容を伝えた。
政府が挙げた原因は「基本的な対策」の不足
統括室の文書が漏えいの原因として挙げたのは3つである。モバイルアプリを開発する際のセキュリティ対策の不足、ウェブサイトなどの設定の不備、そしてサポートが終わったソフトや既知の脆弱性（ぜいじゃくせい＝プログラムの欠陥）を残したソフトの使い続けだ。文書は、自組織または委託先でこうした基本的な対策が十分でなかったことが原因とみられる事例を複数確認したと書いている。
攻撃の流れについても見立てを示した。攻撃者はインターネット上に公開された日本のウェブサイトなどを標的に大規模な調査を行い、侵入の方法が見つかったサイトに入り込んで個人情報を盗んだとみられるという。
今回の文書で踏み込んだのがAIへの言及である。文書は「標的の調査や侵害に AI を使用している可能性も高く」と記した。AIの悪用により、これまでの脆弱性診断では比較的低いと評価されたリスクが組み合わされ、侵入の原因になった可能性のある事例もあるとしている。一つずつは軽い弱点でも、つなげれば侵入経路になるという指摘だ。攻撃の大規模化が容易になることで、事業規模の大小を問わず幅広い事業者が攻撃対象になっているとの認識も示した。
文書は個別の事案名や件数を挙げていない。発出前後にも公表は続いた。良品計画は4日、公式アプリをめぐる情報流出の可能性について第二報を出し、約2726万件の中に無印良品ネットストアの会員も含まれると明らかにした。NTTドコモは5日、オンラインショップなどへの不正アクセスで顧客情報が最大約30万件流出したと発表し、原因と侵入経路は調査中とした。この2件が文書の想定する事例に含まれるかどうかは、文書からは分からない。ドコモの発表の詳細はドコモに不正アクセス、顧客情報が最大約30万件流出で伝えている。
10月の文書から対象を広げ、対策例は23件に
統括室は10月9日にも注意喚起を出している。経緯は大規模漏えい相次ぎ、国と専門機関が3日で注意喚起のとおりで、個人情報保護委員会が7日に先行して注意喚起を出していた。
2つの文書を比べると、変わった点が分かる。10月9日の文書は4ページで、呼びかけの相手は「大量の個人情報を取り扱う事業者や機微な情報を取り扱う事業者等」だった。中身はウェブシステムの管理、サプライチェーン（取引先のつながり）を通じた侵害への対策、データの管理の3本柱の箇条書きで、AIに触れたのは結びの1か所である。
今回の文書は13ページに増え、相手は「ウェブサイトやモバイルアプリを使用した事業を運用し、個人情報を取り扱っている事業者等」と書いた。保有する情報の量を条件にしていない。構成も2層にした。各項目の冒頭は経営層を含む幅広い読者に向けて考え方と背景を説明し、続けてIT担当者向けに具体的な対策例を並べている。対策例は全部で23件ある。
| 段階 | 項目 | 対策例 | 主な中身 |
|---|---|---|---|
| 運用・管理 | 資産の把握と脆弱性の解消 | 4件 | ソフトの構成情報の管理、悪用が確認された脆弱性の優先確認 |
| 運用・管理 | 外部に露出した部分の棚卸し | 3件 | 管理画面や検証環境の公開状況の点検、継続的な監視 |
| 運用・管理 | AIも使う継続的な診断と監視 | 3件 | 定期的な診断、ログの監視、調査の迅速化 |
| 設計・開発 | 設計段階からの対策 | 3件 | 要件定義での脅威の洗い出し、開発・試験時のツール活用 |
| 設計・開発 | APIの対策強化 | 3件 | 権限確認の不備の排除、認証情報の管理、アクセス回数の制限 |
| 設計・開発 | 公開前の脆弱性診断 | 2件 | 公開の可否基準の設定、診断業者の選定 |
| サプライチェーン | 委託先の統制と接続経路 | 3件 | 多要素認証の適用、契約への要件明記、アクセス制御 |
| サプライチェーン | 外部ソフト部品の管理 | 2件 | 深刻な欠陥の公表時の初動手順、部品表の提出と確認 |
狙われるのは管理画面とアプリの裏側
文書が具体的に描いた手口の一つは、インターネットに公開された管理画面への侵入である。推測されやすいパスワードの悪用、総当たり攻撃、認証機能の欠陥を使った認証の回避で不正アクセスを受けた例を確認したという。本来は外部に公開しないデバッグ用の機能やシステム管理用の接続先に、外から到達できた例も挙げた。文書はこうした外部への露出部分を「アタックサーフェス」と呼び、継続的に洗い出して減らすよう促している。
もう一つがAPI（アプリとサーバーの間でデータをやり取りする窓口）である。文書は、情報通信研究機構（NICT）が10月13日に注意喚起した「A2B攻撃」を代表例に挙げた。NICTによると、攻撃者はGoogle Playの日本地域で公開されているAndroidアプリを入手して解析し、通信先のサーバーの所在やAPIの構成を調べたうえで、サーバーごとに攻撃を組み立てる。アプリ自体に欠陥が無くても、サーバー側の認証や権限確認に不備があれば、個人情報が漏えいするおそれがある。手口の詳細はA2B攻撃とは 公開アプリを解析しサーバの不備を突く手口で解説している。
権限確認の不備は、利用者の目線で言えば次のような状態を指す。NICTの説明では、自分の情報を取得する通信の中の識別番号を書き換えるだけで、他人の情報が返ってきてしまう場合があるという。番号が連番などで推測しやすければ、大量の漏えいにつながる。今回の文書は対策として、要求された情報に対する権限をサーバー側で確かめること、APIキーなどの認証情報をプログラムの中に書き込まないこと、短時間の大量アクセスを制限することを挙げた。
診断の時期についても、公開前だけでは不十分だとの考え方を示している。認証やAPI、個人情報の取り扱いに関わる重要な変更の際と運用開始後にも、リスクに応じて継続的に診断や監査を行う必要があるとした。守る側もAIの活用を積極的に検討するよう促す一方、AIの評価結果は根拠を確かめ、最終的な対応の判断は人が確認するよう求めた。
委託先が狙われても、影響は発注元が負う
3つ目の柱は委託先である。文書によると、業務委託先や保守事業者の環境を足がかりに発注元のシステムへ侵入される事案が確認されている。委託先が使うリモート接続は、攻撃者にとって「正規の認証情報を用いた侵入口」になり得るとし、その場合でもサービス停止や情報漏えいの影響は発注元である事業者自身が負うと明記した。
対策例は実務に踏み込む。委託先が使うVPN（インターネット上の専用の通信路）やリモートデスクトップ、保守回線を洗い出して多要素認証（パスワードに加えて別の手段でも本人を確かめる方式）を適用する。作業が終わった委託先のアカウントや、与えたままの管理者権限を棚卸しする。発注仕様書や契約書には、再委託の手続き、事故が起きたときの通知義務、契約終了時のデータ消去を盛り込む。開発を委託するときは、ソフトの部品表（SBOM）の提出を契約に定め、検収で確かめる。
委託先の選定では、第三者認証や、2027年3月に申請受け付けの開始を予定する「サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）」といった客観的な評価を活用するよう挙げた。一方で、委託先に対策を求める際は費用負担や実施方法を十分に協議し、取引上の地位を利用した一方的な負担の押し付けにならないよう留意することも求めている。
相談先も用意されている。情報処理推進機構（IPA）は10月16日に「不正アクセス特別相談窓口」を公開し、不正アクセスの被害を受けている、またはその可能性がある全国の企業・組織を対象に、電話とメールで受け付けている。
「お願い」の形でも、安全管理は法律上の義務
注意喚起の文面は「お願いいたします」で結ばれている。ただ、個人情報保護法23条は、個人データの安全管理のために必要かつ適切な措置を事業者に義務づけ、25条は委託先への必要かつ適切な監督を義務づけている。個人情報保護委員会は10月7日の文書で、漏えいの報告を受けた事案を調べ、必要に応じて指導などの権限を使うと説明している。今回の文書の中身は、事業者が任意で選ぶ対策の見本にとどまらず、法律上の義務をどう果たすかの具体例と読むべきである。
政府が原因を「基本的な対策」の不足と書いた意味は重い。文書が挙げた入口は、公開したままの管理画面、更新されないソフト、委託先の接続といった、経営層が予算と担当者を割けば塞げるものだ。AIによる高度な攻撃を受けたという説明だけでは、情報を預けた利用者への責任を果たしたことにならない。
23件を一度に実行できる事業者は多くないだろう。文書自身が、インターネットからアクセスできるサーバーや機器を優先して対応する必要があると書いている。自社が外に何を公開しているのかの洗い出しから始めるのが現実的である。
政府の側にも欠けている点がある。文書は事例を「複数確認」と書くだけで、どの手口が何件あったのかを示していない。AIの使用についても「可能性も高く」とするにとどまり、根拠は読み取れない。専任の担当者を置けない事業者の立場に立てば、事案名は伏せたままでも手口ごとの件数を示すべきではないか。それが分かれば、限られた予算で23件のどれから手を付けるかを決められる。
規模を問わず攻撃の対象になるというのが政府の見立てである。個人情報を預ける利用者の立場に立てば、公開部分の棚卸しと委託先の接続の点検は、次の被害が公表されるのを待たずに進めてほしい対策だ。