パスワード変更は本当に無意味なのか　ホワイトハッカー西尾素己氏とジョーシス松本恭攝氏が語る、認証情報を入口にしたサイバー攻撃の実態

今、日本ブームなんですよね、サイバー攻撃の中では。あなたたちと繋がってる人たちっていうのが被害を受けるので、サイバー攻撃は人を殺すんです。平気で殺します。

96%で過去3年以内に情報漏洩を経験して、すでに残念ながら漏れていると思った方が、ほぼ全ての会社がいいと。漏れて一番困る情報って何ですかって、どう考えても認証情報なんですよ。失われた時価総額が2200億円くらい。では、間違いなく認証情報が漏れて、そこからの侵入経路だったんじゃないか。

取引先がどういうセキュリティ体制なんですかまで見切れないと危ないってこと。ガバナンスにAIの力を借りないといけない。ポリシー、ルールを決めるということと、AIがそのルールを徹底する。問題があればAIが修正すると。

今回のクエスチョンズは、ランサムウェア被害。今、日本企業が知るべき攻撃の実態と対策とは、こちらをテーマにジョーシスの提供でお届けします。本日、ゲストお二方をご紹介させていただきます。まずはこの方です。東京大学先端科学技術研究センター客員研究員の西尾さんです。よろしくお願いいたします。

よろしくお願いします。

西尾さんは様々な肩書きがあると思うんですが、その中の一つ、長くホワイトハッカーをされてらっしゃる。それがしかも10代前半から活動されているということなんですが、この活動履歴というのを具体的に教えていただけますでしょうか？

1970年代から、私の叔父に当たる人がプログラマーをやってまして、金融系のプログラマーをやってたんですけど、その関係で小学校高学年ぐらいの時にパソコンをもらいまして。プログラムを書いてたらエラーが出て、それを検索エンジンに入れたら、ちょっとセキュリティ系の掲示板に繋がりまして。これを契機にセキュリティってものに興味を持って、僕、あんまり悪さをするというよりかは、守る方がかっこいいっていう教育を受けてきたんで。攻めるより守る方が難しいんで。

そうですね。

攻撃者よりも先に脆弱性を見つけて、それを報告するっていうのを10代からやってたっていう、そういう形になります。

そしてもう一方、ジョーシス社長の松本恭攝さんです。どうぞよろしくお願いいたします。

よろしくお願いします。

松本さん、このジョーシスといえば、SaaS管理などで有名かなとも思うのですが、今、大きな変革も遂げていると伺っています。どんな会社なんでしょうか？

近年、日本企業はランサムウェアに非常に狙われています。そのランサムウェアの原因となっている大きな要因の一つが認証情報です。IDとパスワードというふうに思っていただいても結構です。このIDとパスワードをしっかりと、あらゆるソフトウェアの、あらゆる社員、あらゆる業務委託先のID、パスワードをルールを決めて、そのルールに従ってAIがモニタリングして、攻撃者から攻撃されないような状態をキープしていく、アイデンティティセキュリティを提供するサービスになっています。

初めて聞いたという方も多いと思うんですが、これは海外とかだと当たり前に使われる言葉なんですか？

これは日本でも昔からありましたし、海外でも非常に大きなマーケットで、特に今、クラウドの時代、リモートワークの時代に入ってくる中で重要になってきています。

松本さんといえばラクスルを創業したと、アナログな業界をそこまでアップデートしたという方で、皆さんも知ってらっしゃる方が多いと思うのですが、なぜ今、セキュリティだったんでしょうか？

ラクスルの時も課題があって、その問題を解決したいと。ジョーシスも、一番大きな今の課題は何か、これサイバーセキュリティだなと。このサイバーセキュリティの中で最も狙われている部分を解決することができると、世の中を変えていけるんじゃないかというところで、サイバーセキュリティにより大きく今、舵を切っています。

では今回は三つのキーワードを用意しておりますので、こちらから行きましょう。まず一つ目から参りましょう。今の現在地を見てみようというところで、こちらのパワーポイントをご用意いただいております。

皆さん、サイバー攻撃っていうと、フードをかぶった人がカタカタやってるイメージがあると思うんですけど、それと同時に、ちょっと欧米のイメージがあると思うんです。今までは米国での被害っていうのが、もう突出して多かったんですよね。これは言語学的に言っても当然のことで、何を言ってるかっていうと、やっぱり英語圏が狙われるわけですよね。それはなんでかっていうと、英語を使ってる人が多いし、英語で攻撃できるし、得た情報も英語だと活用しやすいわけですよね。なんですけど、ここに来て日本が非常に多くなってきてる。この背景っていうのは、まさにAIの発達なんです。

AIが発達して何がいいことがあるかっていうと、言語っていうところが拡張された。非常にマイナーな国に観光に行くということを思い浮かべると、英語が通じるかどうかってちょっと気になりませんか？ 英語が通じるんだったら、行ってみようかなと。それと同じで、少し前だと日本に観光に来るのってハードルが高かったんですよ。英語が通じるのかなっていうのが、少なくとも英語圏の人たちにはあったはずなんですよね。これと同じことがサイバー攻撃でもあると。

今、日本の観光はどうなったかっていうと、看板が英語表記に対応したりとか、翻訳のアプリが出たりとかして、言語の面でのバリアっていうのが取り払われた。同じことが実はサイバーでも起きてるんです。AIを使えば攻撃者は日本語のフィッシングメールを一瞬で書くことができる。今まではこれ、日本語バリアって言われてたんですけど、ちょっと日本語が変だなとかっていうメールをよく受信してたと思うんですけど、最近もうほぼないですよね。あれはAIを活用してるわけですね。

そうなってくると、誰かが日本に来たと、観光で。「意外と英語が通じたし、メニューとかも英語になってたよ」っていうブログを書いたとしますよね。そうすると、「行けるんだ」って言って、結構そこから人が増えたりとか。これもサイバーは一緒なんです。「日本企業、攻撃成功したの？ どうだった？」「意外といけたよ」ってなると、「じゃあ、じゃあ、じゃあ」っていうので、今、日本ブームなんですよね、サイバー攻撃の中では。

全然嬉しくないブームですね。

全然嬉しくないです。嬉しくないんですけど、そういうことがまさに今起きてる。

しかも人気すぎませんか？ ほぼ1/4ですもんね。

だからブームですね、完全にというのと、あとやっぱりこの島文化っていうのがあると思ってまして、プラス性善説ですね。あんまり攻めて来られなかった。要は国境を地上で有してる国じゃないんで、そういう意識があったと思うんです。つまりサイバーセキュリティ対策が甘いんですよ。甘いにもかかわらず経済規模はバカでかいんで、これはもう狙う側からしたら、すごい金脈だと。

じゃあ、今これ、国の比較で見ていきましたが、国内での今の状況というのはどう見えるんでしょうか？

悲惨ですね。

そうですか。

はい。ちゃんと対策してる人たちっていうのは、この対策のレベルっていうのも日本は伸びてます。その一方で、今まで通りの投資しかやってこないとか、今まで通りのシステム構成でいいやっていう人たちはどんどん狙われるんで、格差が広がってるんですよ。セキュリティ格差っていうのがあって、意識を持つか持たないかで、とんでもない今、格差が開いてるっていう。

皆さんの意識としてその変化というのは見えるのか、その格差というのがどう感じられるのかというのは、肌でいかがですか？

まず意識は明確に高まってます。それは日々ニュースがやはり流れてきて、ランサムウェアに遭って、事業が止まってしまったという、こういった課題が起きている。ただ、その次のステップとしては、じゃあ何をしたらいいか。ここが今、多くの企業様が悩んでいます。

サイバーセキュリティと言っても非常に幅が広いんですね。それこそパソコンのセキュリティもあれば、サーバーのデータのセキュリティもあれば、ネットワークのセキュリティもあれば、我々がやっているような認証情報のセキュリティもあれば、製品を持っている会社だったらコードのセキュリティもあれば、本当に幅広いセキュリティがあって。じゃあ何から順番に手を打っていけばいいか、どういう最終的な完成図、ブループリントがあるのかという、ここを作ることに多くの会社が悩んでいるなというのが今の実態です。

じゃあ、具体的にどんなことがあったのかというのも、日本の事例でちょっと見ていきたいなと思うのですが。

これ、ジョーシスさんのデータをお借りしていますけれども、日経225の企業ですね。非常に日本をリードしてるような会社ですけれども、セキュリティの投資額もかなり大きいと思うんですが、こういった企業の、なんと96%で過去3年以内に情報漏洩を経験してると。しかもその中の75%に当たる168社が、深刻な漏洩をしてるということなんですね。深刻なっていうぐらいですから、これは認証情報とかっていうのも含まれてると思うんですけど。

まず一つは、日経225の企業でも96%っていうこの事実ですね。日本には中小企業の方が多いわけですから、SMBも含めて、やっぱりこのセキュリティっていうものと向き合っていかないといけないし、ちゃんとした投資を適切なところに注がないと、情報っていうのはすぐに漏れてしまうっていうことがあると思うんですよね。

二つ目が、やっぱり今日のテーマでもありますけど、漏れて一番困る情報って何なんですかっていうところなんですよ。どう考えても認証情報なんですよ。認証情報が漏れたら、それを使って中に入られますから。攻撃の一番入り口になる、漏れてはいけない情報って何ですかっていうと、僕ら専門家から言うと、もうこれ、大昔から認証情報なんです。

認証情報っていうのは、私たちがよく使うIDとパスワードのことですか？

一番身近なものはそれですよね。ただし、やっぱり会社とかの単位になってくると、資格情報とかっていうものになったりとか、単にID、パスワードだけではない。こういったものが漏れると、とてつもなく大きな攻撃に繋がる。やっぱりほとんどの今のサイバー攻撃っていうのは、こういった形で漏れた情報を再利用した攻撃で、特に再利用しやすいのは、繰り返しですけど認証情報なんで、漏れた認証情報を使った攻撃っていうのが非常に今、活発になってる。その中で96%ですから、はっきり言って、いつ何時入られたって、僕らからすると全くもって不思議じゃないです。

中小の方々も、「僕たちみたいな小さい企業だと狙われない」とかっていう声もよく聞きますし、「狙われたとしても、出ていってもそんな大した情報ないから」なんていう声もあったと思うんですよね。そういった声には何てお伝えしますか？

これはね、間違いなくサプライチェーン攻撃っていうのを意識してもらう必要があるんですね。どんな中小企業であっても、何らか経済とは繋がってるわけですよね。大きな取引先と取引をしてるとか、大きくなかったとしても、その会社が取引してる会社が大きなところと取引をしてるとか。これサプライチェーンっていうんですけど、非常に有名な事例があるんですけど、ある国が、ある国の新しい戦闘機の設計図面情報を取りたいという時に、その国の国防省を攻撃するってめっちゃハードル高いじゃないですか。そのプライムの企業を攻撃する。これもハードル高い。

そこでその国は何をやったかっていうと、町場とか、そのぐらいのレベルの人たちのメールアドレスを集めて、そこにマルウェアをばらまいて、複合機に送られる印刷のキューを取って、そのPDFの情報っていうのを抜いてきたっていうやり方があるんですよね。これ今でも当たり前のようにやってるんで。だから「うちなんてやられても困らない」とかっていうのは、それはあなたたちは困らないかもしれないよって。でもあなたたちと繋がってる人たちっていうのがやはり被害を受けるので、これを見越した制度っていうのがSCS評価制度なんですけどね。今、経産省さんがやられてますけど。

それの話を裏側から見たら、大企業の人たちは自分の会社だけじゃなく、取引先がどういうセキュリティ体制なんですかまで見れないと危ないってことなんですね。

全くおっしゃる通りで、大企業の立場だと、自分のグループ会社でまず1万8000台パソコンがありますと。その1万8000台に対して、少なくても10個ぐらいアカウントが紐づいてるとするじゃないですか。これでもうすごい数ですよね。それだけ見てればいいかっていうと、そうじゃないんですよ。今おっしゃっていただいた通り、その全サプライチェーンのそれぞれの会社に、じゃあ何台パソコンがあるんですかとか、究極的に言うとそこまで見ていかないと、漏らさないっていうのはもう無理なんですよね。構造的に情報漏洩とか認証情報の漏洩っていう問題は、個社で考えるっていうのも確かに重要なんですけど、社会全体で考えていかないといけない。

じゃあ、もう漏れている前提で動かないと遅いとも取れるということなんでしょうか？

まず、すでに残念ながら漏れていると思った方が、ほぼ全ての会社がいいと思います。それでも漏れてもしっかりと、じゃあ二要素認証、MFAがかかっていれば、これはなかなか入ることが大変なんですよね。漏れていたとしても、この管理をしっかりとしていくことによって一定防げます。もう一つは、漏れた時にこの漏れたということをちゃんと認識できるかどうか。ここの調査を常にリアルタイムでしておく。この二つですね。漏れたらすぐに分かる。漏れていたとしても入られない。この二つの対策をきっちりしていくことが大切です。

では改めて過去1年間、日本で起きた大きなサイバー攻撃というのが一体どんなものがあったのか、ここも共有していきたいなと思うのですが、何に注目しましょうか？

そうですね。皆さんの生活にもかなり影響があったんじゃないかと思いますけど、一番左の大手飲料会社さんでのインシデントですね。ほとんどの専門家の考えだと、これは間違いなく認証情報が漏れて、そこからの侵入経路だったんじゃないかっていうふうに言われてます。

ここに書いてあるので言うと、失われた時価総額が2200億円くらいあると。すごいインパクトですし、これ売上のところもかなり響いたという情報もあるんですよね。

そうですね。6か月間出荷ができない状況が、完全に出荷できない状況が続いていたというのは、経済活動そのものへの影響、お客様への影響もそうだし、企業にとっても非常に大きなインパクトが出たと思いますね。

そうか。そして今、これ1年間で大きなサイバー攻撃というのを取り上げてるだけで、これ以上にもっとたくさんある中でも、数字も含めて影響がやはり大きいというのが、これだけ見ても分かりますよね。

そうですね。ここは本当に目立ったものを挙げてると思うんですけど、本当に隠れた被害というかっていうのは、もう無数にあると。私の知り合いが、僕、大阪出身なんですけど、大阪で製造業をやってるんですね。その知り合いはランサムウェアの攻撃を受けたと。最終どうなったかっていうと、もう会社は倒産したし、当然ですけど、そこの従業員、何百、100人ぐらいいたんですけど、路頭に迷うわけですよ。やっぱり身近にこのランサムウェアの被害っていうのを見ると、考え方が変わりますね。サイバー攻撃は人を殺すんですよ。平気で殺します。ただし、これ受けないと分かんないです、はっきり言って。

ここの大手通販会社さん、ここの会社さんが攻撃をされた入り口になったのは、まさにサプライチェーン攻撃なんですね。先の会社のパソコンに、これからお話ししますけど、あるウイルスが入ったと。そのウイルスを経由して認証情報がダダ漏れになってたと。その漏れた認証情報を使ってこの会社さんは攻撃を受けて、非常に大きなインシデントに繋がった。

相談件数というのがぐっと上がったタイミングって、松本さんの肌としていつ頃だったんですか？

昨年の11月、明確に桁が変わるぐらいに問い合わせ数が増えました。まさにここに出ている企業様のセキュリティ被害が報告されて、CISO、セキュリティの責任者ではなくて、CEO、社長から号令がかかって、一気に対策が進むというのが11月からです。

皆さん、これは経営課題であるというのは、やはり日本でもコンセンサスが取れてきたような状況なんでしょうか？

この1年でそう思いますね。

じゃあ、そこからどう対策できるのかというお話も含めて、お伺いしていきましょう。二つ目のキーワード、こちらです。そもそも企業がどう侵入されるのか。先ほどから出ているこの認証情報という言葉であるわけなんですが、今までの過去の歴史を踏まえた時に、この認証情報というのが今までフォーカスが当たってきていたのか、それとも時代の変遷とともに変わっていたのか、これってどう見たらいいんでしょうか？

今までも当然重要情報だって、フォーカスはされてました。なんだけど、ちょっと使われ方が変わったっていうところがポイントかなと思ってます。今までは特定の脆弱性を突いて中に入ってくるっていうのが主流だったんですよ。今ほどにセキュリティ製品っていうのが性能が良くなかったんで。今はもうかなりいいんで、かなりその脆弱性への対応っていうのはやりやすいんですけど、昔は認証情報を盗むというよりかは、もう脆弱性を突いて中に入ればいいじゃないっていう、こういう考え方だったんですけど、セキュリティの水準が上がってきたことによって、攻撃者は考え方を変えたと。

脆弱性を突くっていうのは何だかハードルが高そうだなと。であれば認証情報を取って、その認証情報で中に入ればいいんじゃないかっていうふうに変遷してきた。この背景には、それがやりやすい環境になったっていうのもあるんですよ。コロナ禍の間に、皆さん自分たちの会社の業務をリモートワークでやらないといけなくなったと。そうするとみんな何を導入したかっていうと、VPNっていう装置を導入したんですね。これは外の普通のインターネット回線から、その会社の中のネットワークに入る、中継をしてくれる装置なんですけど、皆さん攻撃者だったとして、これチャンスだと思いませんか？ つまり会社にインターネット越しにノックできるドアができたと思うべきです。ということで、VPN装置にログインできる認証情報、それを盗めばサクッと入れるんじゃないのっていうふうになった。

裏口なんて調べなくても、IDカードさえあればピッと入れるのは、そっちの方ですね。

だからIDカードを持っていけば正面から入れるんで、というので、認証情報をとにかく集めてこいっていうムーブメントが起こったんです、攻撃者側で。

どうやって集めるんですか？

というのが、このインフォスティーラーっていうタイプのマルウェアになってまして、皆さんのパソコンの中に普通の経路で入ってきます。メールに変なファイルが付いてるとか、あと、変なサイトを見ちゃったとか。だから入り口はそんなに変わってないんですね。なんですけど、これが一度中に入ると何が起こるかっていうと、こいつはずっとそのパソコンの中にいるんですよ。

めちゃめちゃ検知されづらいんですね。というのも、やってることがめちゃくちゃ単純なんで。何をするかっていうと、こいつはずっと僕らが認証をした時、例えばIDとパスワードを入れてエンターをした時とか、会社のVPN環境にポチッとオンって押したような時、ああいう時にこいつが作動して、「今、認証情報を扱いましたよね。じゃあそれいただきますね」と言って、攻撃者のサーバーにも転送するっていうことをずっとやるんですね。

今までの、何かに感染しちゃったパソコンとかって、エラーがいっぱい出たりとか、ちょっと固まりやすくなったりとか、分かりやすかったじゃないですか。ああいうので「何か入った」みたいなのって、分かんないんですか？

当然、最新のめちゃくちゃいいソフトを使えば、それは分かります。

なるほど。

分かりますけど、それって本当に一部しか使ってないんで。アンチウイルスエンジンっていうのはどうやって動くかっていうと、「明らかにこれ変な動きしてるよね」っていうのを捉えるわけですね。インフォスティーラーは、さっき言った通り認証情報が入力された時に、それを外に送るだけなんです。それ以外何もしないんで。もしこの外に情報を送るっていう処理をマルウェアだっていうふうにしてしまったら、ほとんどのソフトを止めないといけないじゃないですか。ということで、全くもって検知されないんです。

やっぱりポイントは、ずっといるってことなんですよ。第1世代のインフォスティーラーっていうのは、2019年ぐらいに散布されたっていうふうに言われてるんです。だから2019年から一度もパソコンを買い替えてない人っていうのは、7年間認証情報を取られ放題っていう状態なんですよね。さらに怖いのは、皆さん、認証情報ってパスワードを定期的に変えてたら大丈夫だとかって聞いたことありませんか？

今もその話をしようと思ってました。これ取られちゃったら変えればいいじゃんって思っちゃいました。

そうですよね。ただ、思い出していただきたいのは、ずっといるんですよ、こいつは。

そうか、そうか。

僕がめちゃくちゃ几帳面な男で、1日に1回パスワードを変えると。しかも400桁で変える。やってても意味ないんですよ。要はパスワードを変えましたっていう処理を持っていかれるんで、新しい認証情報をこいつは吸い続けるんですよ。

ただし、ちょっとポイントがあって、これ今、一大エコシステムになってまして、さっきみたいなインフォスティーラーを売ってくれる業者っていうのがまずいます。自分で作れないんで、みんなでこれを買って認証情報を取るというところをやる人たちがいます。要するにインフォスティーラーを、例えばメールアドレスをいっぱい集めてきて、そこにばらまくみたいなことをやると。そのうち何人かは感染するじゃないですか。その中に、例えば大企業にお勤めの人がいたりとかするわけで、そうすると、どんどんさっき言った認証情報が集まってくるわけですよね。

このありとあらゆる認証情報を、インフォスティーラーログっていう名前を付けて販売するんですよ。これ、いわゆるブラックマーケットで販売するわけですけど、ディープウェブとかダークウェブとか呼ばれるところなんですけど、販売するんですね。これ、販売した認証情報を買う人たちがいて、これIABっていうんですね。イニシャルアクセスブローカーって、ちょっと専門用語ですけど。この人たちは何をするかっていうと、買った認証情報を使って中に入ります、組織の中に。そこにバックドアを仕込むんですよ。しかもこの人たちはプロなんで、絶対に見つからないような、めちゃくちゃステルス性の高いバックドアを仕込む。ここまでをやる業者っていうのがIABなんですよね。

このバックドアを買う人たちがいると。これ、要はエンドユーザーですよね。これがランサムウェアギャングだったりするわけですよね。だから今のランサムウェアギャングとかっていうのは、もしくは正確に言うと、ランサムウェアギャングのサービスを利用してるアフィリエイターっていうのが正確なんですけど、この人たちは侵入からやってるかっていうと、実はやってないんですよ。ものすごい分業化してるっていうことですよね。

何か本当に闇バイトみたいですね。

おっしゃる通りですね。という感じなんですけど、ちょっとこれを見ていただいて、さっきの議論でパスワードの定期更新、これ全く意味がないかっていうと、意味はあるよっていうのに気づくと思うんですよね。どうしてかっていうと、取られて売られるフェーズがありますよね。

真ん中のところで。

そうです。売られたものが使われるというフェーズがありますよね。ここ、ラグがあるんですよ。

確かに。

このラグが例えば1か月あれば、例えば2週間に1回変えてますよっていう人は救われるわけですよね。というふうな形で、実は多要素認証っていうのも一定は意味があると。要するに多要素認証も、実はインフォスティーラーは持っていっちゃうんですよね。IDとパスワードを入れて、それから指紋で認証したとすると、じゃあ認証が終わりました。「あなたは通行していいですよ」っていう通行許可みたいなものを、ITの世界ではクッキーとかっていうふうに言うんですよね。この情報をインフォスティーラーは持っていくんで、次の日に入る時って、ID、パスワードを入れずに入れるじゃないですか。

入れます。

あれはクッキーという通行許可に有効期限が付いてるんですね。長いものだったら1か月とかあるんですけど。この多要素認証をしてても持っていかれるよというのは、この通行許可証が持っていかれますよねっていう議論なんですよね。

なので、この通行許可の期限ですね、これが短ければいいわけですよ。今の西尾さんの話で、このインフォスティーラーのポイントは、2019年に出ているんですよね。この攻撃の進化が非常に早い中で言うと、1回勉強したとしても、それが、じゃあ10年前に勉強したものが今そのまま役に立つかというと、もう攻撃者がどんどん新しい手法を開発していってるので、古くなってしまうと。常にこれが最新化されていくというところを、こういう西尾先生のような方に教えていただきながらアップデートしていくという必要が出てくるのと。

プロのセキュリティのオフィサーの方がやられている会社もたくさんあるんですが、そうではなくて、ローテーションの中でセキュリティの責任者に、ITの責任者になっていかれる会社様も。これまでは人事のプロでした、ファイナンスの財務のプロでしたという方がセキュリティのプロになった時に、自分で全部把握していくっていうことができない。セキュリティだけはしっかりと、キャリアとして長くやる方が見ていかないと、本当に大きな被害を生んでいく。これは日本企業が今、狙われやすい構造の一つにもなっています。

じゃあ、そこに対してどう対策ができるのかというところも、ぜひお伺いしましょうか。では具体的に何をしたらいいのか、もうここ、ズバリお願いできますでしょうか？

攻撃者は我々の脆弱性を突いてくるわけですよね。例えば心理的な脆弱性、それから先ほど社長からあった、この経済的なところであるとか、あとは組織的なことであるとか、歴史の積み重ねとか、あとはシステムの脆弱性とか、こういうのを突いてくるわけなんですけど、守る側として僕は足りてないなと思うのは、これ戦いなんで、我々だって攻める側の脆弱性を突いてやる必要があるんですよ。これを見た時に、実は彼らの、彼らというのは攻撃者の構造に脆弱性があるんですけど、分かりますか？

ギブアップしていいですか？

はい、分かりました。これは明確に産業構造に脆弱性があるんです。どうしてかというと、これもし、インフォスティーラーを作るところからランサムウェアを入れるところまで、垂直統合された一つの組織でやってたとすると、いちいち認証情報を売ったり、セッションを売ったりする必要はないですよね。内部で完結するんで。

バラバラになってるところが脆弱性と。

そうです、まさに。要するに分業化したがために、1回1回、例えば盗んだ認証情報がマーケットに出るんですよ。それからバックドアを仕掛けたら、それがマーケットに出るんです。

そうか。

この売りの情報っていうのをちゃんとモニタリングするっていうのが大事なんです。つまり自分たちの組織の認証情報が今、売られてないかどうかっていうのを見るのが、めちゃくちゃ大事です。使われる認証情報が出てないかを見るっていうのは、ものすごいダイレクトだし、はっきり言って投資対効果がめちゃくちゃ高いですよね。ものすごい高いセキュリティ製品を入れたら、それは戦ってくれるけれども、それは詰まるところ、中に入られた後に戦うわけであって。

確かに。

この対策っていうのは何かっていうと、中に入られないようにする対策なんで。しかもめっちゃ分かりやすい。鍵が闇市で売られてないかを見るっていうことなんで。

そうか。

この流れって何ていうかって、実はシフトレフトっていうふうに言います。攻撃の進行を左から右に取った場合ですね。要はこうやって認証情報を取られて、中に入られた。その中で、例えば権限っていうんですけど、管理者権限まで上げるとかですね。こういうことをやる。中のシステムにガーッと入っていって、そこにマルウェア、ランサムウェアですね、これをまくっていう。これ、左から右に見た場合ですけど、今までって、もう入られるのは仕方ないみたいな風潮があって、入られた後にどうそれを検知するかだっていう、この右側の議論をしてきたんですよね。

この入られた後に検知するって、申し訳ないけれども、僕は攻撃ばっかり研究してきたんで、研究者から言うと、攻撃者の方が圧倒的に有利です。私はアンチウイルスエンジンを書いていたし、セキュリティベンダーさんが作った製品の性能テストもやってたんですね。当然その製品を回避できるかどうかっていうのもやってたわけで、回避できなかった製品は今までに二つしかないんで。別に自慢したいわけじゃなくて、それなりの知識を持った人からすると、一つ一つの防御機構を回避するなんていうのは、そんなに大変なことじゃないんですよ。つまり、この右側で戦うっていうのは相当に分が悪い時代になったんです。

なので左で戦いましょうよっていうのがシフトレフトですね。左で戦うって何なんですかっていうと、認証情報とかの足元の情報をちゃんと管理しましょうよっていう、いわゆるガバナンスですよね。ITセキュリティばっかりみんな言うんだけど、それってガバナンスができてないと。ガバナンスが前提のセキュリティなんだけどっていう。なのでセキュリティにいくら投資しても、「認証情報がインフォスティーラーでダダ漏れです」って言われると、簡単に被害が出ますから。

まずシフトレフトで、皆さんが管理している認証情報の一覧ってすぐ出ますかっていうと、ほとんどの会社のIT担当は「すぐは出ませんね」っていうはずなんです。すぐ出るっていう人もいるかもしれないけど、じゃあ勝手に部門の人が使ってるSaaSとか、勝手に部門の人が契約したAIエージェントとかも含めて全部出るんですかっていうと、うーんってなるわけですよね。それも「うちは出る」っていうふうに言ったとしましょう。言ったとすると、「じゃあ、おたくの取引先のパソコンはどうですか」とか。

なるほど。

もうそこまで行くわけですよね。実はガバナンスって難しいんですよ。ガバナンスにAIの力を借りないといけない。マシンパワーでやっていかないといけないと。攻撃者もAIを使っていろんな攻撃をやってくると。これ、インフォスティーラーなんてほとんど手で書いてないですからね。AIでバイブコーディングしたマルウェアに僕らはやられてるんで、やっぱり我々もAIパワードなガバナンスっていうのを使っていって、自分たちが守らないといけない認証情報っていうのは何なのかっていう、このコンテキスト情報をまず集める。これが第一歩ですよね。集めたらそれを守る。出てないかっていうのを、ブラックマーケットの市場でモニタリングをする。全然難しいことを言ってないですよね。この二つをやるだけで、攻撃の一番最初のところを止められるんで。

やっぱり日本企業が別にサボってるわけじゃないんですよね。めちゃくちゃ皆さん苦労されてるんだけど、それはだって、今年の4月からセキュリティ部署に配属されましたっていう人が、すぐ結果が出るかっていうと、そうでもないしっていう。今まさに日本の企業っていうのは、もがいてるんですよ、セキュリティの世界で。だから、そのレベルが低いわけじゃないっていうのは、ちょっと強調したいです。

じゃあ、今の企業の対策の実態というのが、現在地がどう見えてるのかというのを、松本さんにお伺いしましょうか？

我々の方で調査をいくつかさせていただいております。中堅・大企業のCIO200名にアンケートを取りました。一つは、認証情報漏洩を経営リスクとして捉えているか。84%のCIOの方が、経営リスクとして認識しているというふうにお答えいただいてます。じゃあ社内の認証情報、すぐ出ますかと。実は7割の会社が「すぐ出ます」と。「認証情報を把握できています」と。

そうです。いいデータ、これ。

聞こえますよね。

そうですね。

これ、ジョーシスを使っていただくと、全ての認証情報の一覧をすぐに出すことができるんですね。この認証情報を実際に全て出せる会社、これ残念ながらほぼありませんでした。退職した社員の66%のアカウントは、そのまま30日以上経っても放置されている状態でした。業務委託先に発行したアカウント。これ、業務委託の契約が切れた後、どれぐらい残っていたか。100あると33のアカウントは残っていました。

多いですね。

そして通販会社さんは、まさに業務委託先に対する特権管理のアカウントに二要素認証がされていなかったことが原因ですと書いてありました。まさにその事例で言うと、同じ状況にあるアカウントですね。企業ではなくて、アカウントの数が37%ありました。

MFAは少なくともやった方がいいというのが大前提、分かった上でこの数字を見ると、何かゾワゾワしますね。

はい。その会社が全くできてないわけじゃないんですよね。100あると90はできている。99はできている。ただし1とか2が残ってしまっている。実際にはそれは1/3ぐらいが残っているというのが実態ではあるんですけど、この認識としては、できていると思っているんだけど、じゃあ実態としてできているかというと、なかなかできていないと。

危機管理意識というのはどんどん高まっているというのは分かったので、結構お金は投じてるのかな、なんて思っちゃうんですけど。

いろんなセキュリティ領域があります。一番皆さんが投資されてるのはネットワーク、VPNとかクラウドへのセキュリティですね。あとはパソコンとかスマホ、こういったエンドポイントのセキュリティ。ここも最も重視して投資していますという。あとはデータですね。この辺りが1位、2位、3位。どこに優先順位がありますかと聞くと、この辺りです。じゃあアイデンティティのセキュリティってどれぐらい、認証情報を守るというのはどれぐらい重要ですかと聞くと、「うちはもうできているから」という会社がほとんどで、実際にセキュリティ投資が最も進んでいない領域が、この認証情報のセキュリティです。

今、これだけお話を聞いてても「認証情報でしょう」って今なってる中で見ると、ちょっとガクッとしちゃいますね。

この認証情報が、先ほどもあったように狙われ始めたのがこの数年なんですよね。端末のセキュリティってもう何十年も狙われていて、ネットワークのセキュリティも何十年も前からあったのに対して、認証情報をきっかけとしてというところがリモートワーク以降というところで、皆様、投資できて、「うちはできている」と思っていて、投資する必要はないよと。でも実際にそこから被害が生まれていく。

企業のトップの方々も、マインドを一旦変える、または見方を変えるというところから始めないと、履き違えたセキュリティ対策で終わってしまうかもしれないってことなんですね。

おっしゃる通りですね。

じゃあ、なぜこういったことが起きてしまうのか、課題を整理していただきましたので、こちらをご覧ください。

認証情報の管理は、これ非常に難しいんですよね。大きく三つ難しさがあって、一つは見えないこと。先ほど西尾先生からあったように、情報システム部が管理するMicrosoftとか、Teams、Slack、そういったものは全部見えていますと。一方で、じゃあ営業部が独自に使っている、マーケティング部が使っている、開発部が使っている、もしくは個人でAIを使って、いろんなAIエージェントを作っている。でもこれ、会社の業務として使っていて、会社のシステムにアクセスできるようになっている。こういったものがすごくたくさんあって、部署ごとにサイロ化してしまって、全体を俯瞰して見ることができないと。これ、見えないという課題ですね。

二つ目が、アラートが多すぎる。大手の会社だと、1週間に1000件以上のアラートが来ますと。アラートが来て、全部にリスクがあるかっていうと、実は9割ぐらいは誤検知であったり、そんなに重要なものでなかったり。ただアラートが来たら、ちゃんと対応しないといけないと。そうすると、アラートの対応だけで、もう人がどれだけいても足りないという状況になってしまうと。

最後に気づかないというところで、先ほどもあったように認証情報、日経225の会社の96%、7%の会社で認証情報が漏れている。ただ漏れている会社そのものが気づいているかっていうと、これ気づいていないんですね。インフォスティーラーに感染していても気づかないと。この見えないこと、追いつかないこと、気づかないことが、この管理をするということが非常に難しい構造を作っています。

AIが攻撃をしている、AIを使った攻撃があると思うと、もうこの見えない、追いつかない、気づかないなんて言ってられないほどの攻撃が来ると言ってもおかしくないわけですよね。

そうですね。攻撃者がAIを使うので、社員、子会社も含めて、海外の会社も子会社も含めて、また取引先も含めて、1人で全てにアタックを、何十万、何百万であったとしても、認証情報を探すことができるんですよね。AIに指示を出せば、そこに攻撃を出すこともできるという、そういう時代になっているので、人が全部対応していくというのは、これなかなか難しい状況で。攻撃者がAIを使っているからこそ、我々もAIを使って守らないといけないと。取引先も含めて全ての認証情報を365日24

時間、守り続けられるということを、AIを使ってガバナンスを実行していくということをやらないといけない時代に入ってます。

ジョーシスさんのサービスでどこまでできるのか、そして具体的にどんな設計になっているのかというのも教えていただけますでしょうか？

ジョーシスのサービスの基本は、ポリシー、ルールを決めるということと、AIがそのルールを徹底する。何か問題があれば、人がそれを修正するのじゃなくて、AIが修正すると。

ポリシーはあるべき姿、どういった体制を作るべきなのか。内部の人間、外部の人なのか、今、AIエージェントもアクセスを持っているんですね。Googleカレンダーに入っていく、Teamsに入っていくことができるようになっている。こういった全てのアイデンティティに対して、全てルールを適用していく。そして何か違反があれば、ルールから逸脱があれば発見すると。これがポリシーですね。

でもこれを全部人が見ていくというのは難しいので、AIが全てのアイデンティティ、認証情報を24時間365日守って、問題があればそれを是正していくという、この2つが我々の提供させていただいているサービスです。

例えば外部委託先へ特権管理者の権限を付与する、もしくはこの特権管理者は多要素認証、MFAを必須とする。全部見に行こうとすると、社内で使ってる全てのアプリケーションの全てのダッシュボードに行って、全て1つずつ見に行かないといけないんですよね。それを情報システム部、セキュリティ部が全部見に行けるかっていうと、なかなか行けないと。

じゃあ、それが発生した時に、我々はこのジョーシスを通じて、「こういう違反が発生しました」というアラートが上がって、それを自動で修正する。特権管理の水準値を下げるとか、もう辞めた社員の方であればデータを1度保管して、あとはアクセスを削除するとか、AIに任せてAIが全てを保っていくということをやってくださいと。

先ほど西尾さんが、市場にそういったID、パスワードが出回ってないかというのを確認すべきだという話があったと思うんですが、それは見えるんでしょうか？

提供させていただいているのが、ダークウェブをモニタリングして、流出した認証情報を我々が取得して、管理するお客様の認証情報と突き合わせて、誰の認証情報がいつ、どこで流出したかという情報をジョーシス上で見ることができます。

そこまでできるんですね。

はい。認証情報の流出を把握したら、流出した人のあらゆるデバイス、ソフトウェアのアクセス権を停止するというルールを決めておけば、流出した瞬間に他の誰も入れなくなると。

プライム市場に上場する、従業員3000名の会社で、SIの会社様ですね。我々のお客様です。SIは非常にシステムをたくさん使うので、アカウントの認証情報の数が多いんですよね。1万7000のアカウントを我々が管理させていただいております。17のアプリケーションを横断で見て、30個のポリシーで監視しました。2ヶ月間の間で2412のポリシー違反が発見されています。

具体的には、退職者アカウントがそのまま残っていましたとか、特権アカウントのMFAの未設定がありました。利用アカウントがありましたと。AIが自動的にこれをレビューして、あるものは人が入って人が判断するし、もうここは人の判断なくてもいいよというところについては、人の判断なしに強制的に、最後、権限を変えるとかアカウントを削除するという形を取っているので、AIが自動的に判断をして、最後まで制御してくれると。

さらにもう1つお伺いすると、やっぱりガバナンスのところを作るのが難しいという話があった中で、ポリシーメイキングってまさにそれの1つだと思うんですよね。それを作るのが御社ではなかなか難しい、または自分の会社ではなかなか難しいってなった時に、そのサポートはいただけるんでしょうか？

はい。もちろんです。標準化されたポリシーで、その中で例えばアカウントの棚卸しは年に1回やるのか、2回、3ヶ月に1回やるのか、半年に1回やるのか、体制は変わるけれども、ちゃんと押さえるべき項目というのはもう固定化されています。そこは我々が提供させていただいて、お客様ごとに、当社はもっとレビューの、棚卸しの頻度を高くしていきたい、子会社はこれぐらいの頻度にしよう、取引先に対してはこれを求めようといった形で、その中で強弱という形でポリシーの設定をサポートさせていただいています。

では改めて、ジョーシスの具体的な大きな枠組みというのを、もう一度整理していただきましょうか。

ジョーシスはポリシーを設定して、AIで統合的に認証情報を守るサービスです。まず可視化。社内で何の認証情報があるのか、これを台帳として一元的に表示すると。そして社内のルールを決めましょう、ポリシーを決めていきましょう。そして1度決めたら、社内全て、子会社、取引先も含めて、それが遵守されているかどうかをモニタリングしていきましょうと。月に1回ではなくて、毎日、これがモニタリングされる状況を作ります。そしてそのポリシーに違反するものがあれば、それを是正していく。これもAIによって是正をしていこうと。

これを24時間回し続けるということで、このアイデンティティのセキュリティ、認証情報を起点としたランサムウェアの被害から日本企業を守っていこうというサービスを提供しているのがジョーシスになります。

最後、視聴者の皆さんにこれだけは絶対持って帰ってほしい、そんな一言があるとしたらどんな言葉を？

僕は攻撃に関する研究者なんで、サイバー攻撃をやる人っていうのをずっと追いかけてきたんですよね。彼らが狙うところっていうのは、これはやっぱり時代によって変化します。今回ご紹介した、認証情報の漏洩に起因するタイプの攻撃のこの型がありますよね。この型がじゃあ廃れることってあるんですかっていうと、廃れることはあるんですけど、それってその対策がちゃんとされたんで、狙われにくくなったっていうことなんですよね。

これ、じゃあブームが過ぎたからやめていいかっていうと、ずっとその基礎的な攻撃をやり続けるチームっていうのもいるんで、やっぱりそこにまた餌食になってしまうってことがあるんで、攻撃者についての情報っていうのをちゃんと捉えてほしいんですね。

ランサムウェアっていうのは、その周りを取り巻くどういう業者がいて、どういう情報とかお金の流れで中に入ってくるのかっていう、この攻撃者の構造っていうのにちゃんと目を当てると分かりやすいじゃないですか。じゃあ認証情報が大事じゃないかっていうふうに分かるんで、ぜひこの攻撃者というものに、少しでもいいんで皆さん興味を持っていただきたい。

ランサムウェアから企業を守っていくために必要なのは、すごく高度な様々なセキュリティを完備することよりも、当たり前のことを当たり前にやっていく。そのためには、あらゆる従業員の、あらゆる取引先のIDをしっかりと管理していくことが必要です。我々、この日本企業のIDを守っていく、これをミッションに、皆様の会社のセキュリティを強化していくお手伝いをさせていただければと思っております。

本日はお二方、ありがとうございました。

ありがとうございました。

ありがとうございました。

[音楽]

[音楽]

お