予約情報入りの偽メール、4秒で300万円のFX不正取引――相次ぐ個人情報漏えいの被害と専門家が勧める対策

私たちが出会った大学生の2人組。

これタイムズから、その画像も出て、これ多分確認されてる情報で、学生と免許も。

タイムズカーから個人情報が漏洩と連絡を受けていた。この大学生はスカイチケットからも個人情報が漏洩という。先週にはこんな出来事が。

これです。Amazonから1万3000円払われてて。

買った覚えのない机の購入履歴を発見。調べてみると。

身に覚えのない机が、僕、京都に住んでるんですけど、横浜に届いてて。

京都に住んでいるという大学生。しかし届け先を見てみると、そこは全く関係がない横浜市だった。

問い合わせした結果、返金されました。

この後に、自分の中でパスワードを変えたりしました？

はい。Amazonとか重要そうなのは、2段階認証つけられそうなのをつけたりとか、パスワード変えてみたりしました。

こちらは飲食店の店長。先月、系列会社が不正アクセスを受け、情報が漏洩した。

社員さんの電話番号とか、それはその海外の変な。

そうですね。海外だったり、海外じゃないのもあったりみたいなのも話聞くので。

社員直通の番号に不審な電話がかかってくるようになったという。

とりあえず不審なものには何も近づかないようにするだったりとかっていう部分しか、現場としてはまだできてはないですね。

今年、不正アクセスで漏洩した可能性がある個人情報は延べ2億人分。取材を進めると見えてきたのは、身近に迫った被害の実態。個人情報の漏洩は新たな局面を迎えていた。

私たちが話を聞いたのは熊本県に住む男性。先月、都内のホテルの宿泊を予約したという。

「忙しいよな」っていうふうにちょっと思っちゃったっていうのが、甘かったところですね、こちら側が。

始まりは予約から1か月半後に届いた一通のメールだった。タイトルには予約したホテルの名前が。「ご到着前のご案内」と書かれていた。さらに自分の名前が書かれており、チェックインとチェックアウトの日付は予約通りの情報だった。

ホテルにスムーズにチェックインできますからっていうことを書いてあって。

メールの内容を信じてクレジットカード情報を入力したという。しかし実はこれ、偽メールだった。本物のメールと比べると、ホテル名、宿泊者名は同じ。違ったのは予約番号だけだった。

あまりにも細かい私の宿泊予約情報が漏れてしまってるので、信じてしまったっていうのが今回、本当に敗因って言うと変ですけど、してやられたって感じですね。

入力後すぐに偽メールと気づき、カードを停止。不正利用はされなかったという。相次ぐ個人情報の漏洩。サイバーセキュリティの専門家によると、ネット上には個人情報を売買する掲示板があるという。見せてもらった。

これには住所、氏名、電話番号、メールアドレス、あと会員番号とか、こういう個人情報が入っていると。

これはサイバー攻撃を受けた、ある予約サイトの個人情報だという。およそ3200万の個人情報が売られていた。その一部を見せてもらうと、まず個人の住所が。京都市という地名に続いて、番地、住宅の部屋番号まで載せられていた。他にも会員番号。氏名は漢字だけでなく。

誰でも検索すればたどり着くことができるサイトであります。

一定の知識があれば閲覧できるサイトで、個人情報が売買されている実態が浮かび上がった。さらに個人情報の漏洩は高額の金銭被害にまで発展している。サイバー攻撃に遭ったのは、GMOインターネットが提供するFX取引関連のサービス。GMOインターネットは利用者の情報などが漏洩、不正な取引が行われたことを確認したという。私たちはその利用者から話を聞くことができた。

ごめんなさい。よろしくお願いいたします。

都内に住む30代。

毎朝、損益チェックしてるんですけど、3日で携帯を見たら、こんな感じで。

見せてくれたのは、FXの取引を確認する画面。並んでいる赤い文字は取引で損をした金額だ。この全ての取引、全く身に覚えがないという。その取引が始まったのは午後11時40分59秒。まず64万円の損をした。その次も64万円。次は2回連続の47万円。その後も損をする取引は繰り返され、午後11時41分3秒まで続いた。不正な取引が始まってから終わるまで、わずか4秒。

4秒ですね。

4秒で300万。

300万。

たった4秒で300万円ほどの損失が出たという。

まさか自分がこんな被害に遭うとは、もうつゆほどにも思ってなかったんで。もう逆にでかすぎて、1周回って現実感ないですけど。いや、もう悔しい、悔しいですね。

この被害に気がついた日の夜には。

ハッキングを仕掛けたハッキングチームからメールが来まして。ハッキングチームからメールが来るなんて、もう映画の世界じゃないですか？

届いたのは、不正アクセスしたとみられるハッカー集団からのメール。

現在、私たちの手によって皆様の口座の残高が消去されています。GMOが交渉に応じれば破壊は停止します。GMOへの働きかけをお願いいたします。

さらにそのメールには。

GMOにメール。午後0時51分から電話を7回。午後5時に最終警告。返信は1度も来なかった。だから破壊を始めた。

さらに、このサービス全体で66億円相当の口座を破壊したという主張が残されていた。取材中にも。

今ちょうど、ハッキングチームから新しいメールが。「続報、破壊継続中。そして次の段階へ」。

ハッカー集団から利用者に新たなメールが届いた。

こっちでやれることもないんで。もうGMOの発表と、こっちのハッキングチームがどうするのか、もう待つしかないんですかね。

そして今日、GMOインターネットは不正取引による被害が確認されれば損失分を補償すると発表。このサービスの全ての利用者に対して、見舞金として1人5000円を支払うとしている。

そして、このサイバー攻撃を巡り新たな情報です。GMOインターネットは政府に対して、能動的サイバー防御を適用するよう緊急要請しました。GMOインターネットによりますと、FX取引の自動売買などに使うサービスがサイバー攻撃を受け、利用者の情報が外部に持ち出され、一部では身に覚えのない取引が行われたことが報告されたとしています。また、攻撃者とみられる者から金銭の要求を受けていることも明らかにしましたが、要求には応じないということです。

GMOインターネットは、民間事業者単独での防御や事後対応では被害を根絶することは困難だとして、国が主導して攻撃者を追跡、遮断するなどの実効的な措置を取る能動的サイバー防御を適用するよう緊急要請しました。

竹内さん、企業側から政府に対してサイバー防御を緊急要請という、これ新たな展開に入りました。これどういったものなんでしょうか？

はい。この能動的サイバー防御というのは、実は今月の1日から新たに行えるようになった措置なんですね。これ、政府とか自治体に加えて、電気、鉄道といった重要なインフラを担っている企業に対する重大なサイバー攻撃を未然に防ぐことが目的なんです。これ、警察とか自衛隊が攻撃元にアクセスをして、不正なプログラムなんかを停止することができる、攻撃ができないようにすることができる措置なんです。

そのサイバー攻撃を未然に防ぐものであって、攻撃を受けて被害が出てから要請するっていうものでは、そもそもないわけですか？

はい。当初の想定では、個別の企業が要請をしたからそれを受けてやるっていうことは、基本的には想定されてないんですね。この能動的サイバー防御ということを実際に行うかどうかっていうのは、あくまでも政府が主体的に判断するものだとされています。

緊急要請があったからといって、すぐさま何かの動きが出るという状況ではなさそうということですね。それにしても、ひさん、このところ情報漏洩、このサイバー攻撃だったり、こうした関連のニュースが次から次へと耳に入りますけれども、どういったお気持ちでニュースに触れてらっしゃいますか？

いや、もう本当、毎日毎日じゃないですか。もう何からすればいいんだろうとかって、ちょっと立ち止まっちゃってる状態というか、何かした方がいいのか、逆に触れない方がいいのかっていうのがわからないっていうのが、自分としては正直。

何から手をつけていいのかわからないって思ってらっしゃる方、きっと多いと思いますので、そうした疑問にもお答えいただくべく、サイバーセキュリティに詳しい日本プルーフポイントの増田幸美さんにお越しいただきました。よろしくお願いいたします。

よろしくお願いします。

さて、今週はインターネット上で緊急メンテナンスによるサービスの一時停止というのが本当に相次ぎました。もうすでに復旧しているものもあるんですが、すき家やはま寿司では予約アプリなどが停止になったり、気象庁のデータが閲覧できなくなったりしたんですね。原因はPHPというプログラミング言語です。これ、ウェブサイトやアプリを作る際に広く使われているものなんですが、これに重大な欠陥が見つかったということなんです。

増田さんによりますと、この欠陥を攻撃されますと、ウェブサイトを乗っ取られ、改ざんされることが。さらにはインターネットサイトに入力した個人情報が取られてしまったり、閲覧するだけでコンピューターウイルスに感染してしまうということなんですが、増田さん、今後増えてくる可能性があるんですか？

はい。すでに脆弱性が公開されてから、たったの半日で数百万件の攻撃試行があります。

数百万。

はい。ただし問題なのは、このPHP、また別の脆弱性ももう出ちゃったんですね。さらには別のプログラミング言語でも重大な脆弱性が出ているので、こういった攻撃、今後もやむことがないかなというふうに思います。

続いていく可能性まであるということですね。中室さん、この問題どうご覧になってますか？

そうですね。これ、PHPのこの欠陥に気づいたのはAIによる調査だったというようなこともわかっていますので、今まで企業や行政のシステムのメンテナンスって、半年に1回とか1年に1回みたいな保守点検があったと思うんですが、そういうカレンダーでの保守点検はもうやめていかないといけないということなんだろうなと思うんですね。私、増田さんにぜひお伺いしたいなと思うのは、この企業の責任範囲、一体どういうふうになっていくんでしょうか。

やはり入られた時の原因が何だったのかっていったところと、あと情報が盗まれた時に、それが攻撃者にすぐに使える情報だったのか、関係してくると思うんですね。やるべき対策をやってなくて入られたとか、あるいは情報を抜かれる、その情報自体を暗号化して、攻撃者が取ってもすぐに使えないような状態にしていたと。そういった部分があれば、そんなに責任は取らなくていいかと思うんですが、すぐに使える状態で暗号化もしてなくて、平文で誰でも読める状態だったってなると、ちょっと企業側の責任が問われるかなと。

やはり十分に合理的な対策を事前にきちんとやっているかどうかっていうことが、責任の範囲に関わってくるっていうことなんですね。

おっしゃる通りです。

ひさんは、この一連の問題の中でどういった点が不安ですか？

そうですね。やっぱりもう身近なところで、歌の練習したいからスタジオさんに「練習したいんですけど」って言ったら、もうやっぱり「サイバー攻撃受けちゃって直近の予約は取れません」って言われたりして。そういったことも実際起きてたりするんですけど、1番怖いのは、その大きいお金の部分。銀行で預けてるお金は大丈夫なのか、銀行とかそういうところではどういうセキュリティをしてるんだろう、守られてるのかなっていうのがちょっと不安。

どうなんでしょうか。

はい。やはり当たり前の対策っていうのをちゃんとやっていただくっていうのがすごく大事なので、パスワードは使い回さないとか、あるいはクレジットカード使ってるようであれば明細を必ず確認するとか、そういった対策を適切に繰り返していただくのが重要になります。

今まさにその対策の話がありましたけれども、増田さんに聞きました。まず企業ができる対策というのは、守る対象を減らすということなんですね。古いサイトや不要なサービスはもう閉じてしまう、使わないということで、対策を取るためのお金や、今エンジニアが不足しているので、守る対象を減らすというのが対策になりそうです。

そして私たち個人ができる対策というのは、今お話にありましたが、クレジットカード、不審な引き落としがないかということを明細チェックすること。さらにはパソコン、アプリ、アップデートってお知らせありますよね。あれで常に最新のものにしていく。さらにはパスワードの管理、点検が必要だということですね。

対策、何度か聞いたことはありますけれども、でもやっぱり増田さんに伺っても、これを徹底していくことが大事っていうことを改めて感じますね。ひさん、いかがです？

もうパスワードいっぱいありすぎて、いつもサイトにアクセスする時に何個も「これが当たるかな、これが当たるかな」とかやっちゃってるんですけど、どうしていけばいいんですかね。もう本当にそのパスワードを、例えば家で管理するとか、何が1番安全なんでしょう？

多分全てのパスワードって覚えられないので、もう重要なお金に関わるところのパスワードだけは覚える。でもこれ忘れちゃうかもしれないから紙に書く。でも紙に書くと誰かに見られちゃうかもしれないから、紙に書く、ある一部分をちょっと伏せ字にして書くと。重要なのは15文字以上の、被らない、絶対他で使ってないパスワードにする。

15文字以上です。

はい。15文字使っていただくと解読に890年かかるんですね。でも7文字だと瞬時なので、やはり長くてなるべく複雑なパスワードというものがいい。あとパスキーがあればそれを使っていく。

そうなんですか。そのパスワードで言いますと、先日私が使っている動画サービスのプランが、スタンダードプランを選んでいたのが急にプレミアムプランに勝手に変更されてたっていうことがありまして。メールが来たので気づいたので、怖いと思ってあらゆるサイトのパスワードを点検して、もう複雑なものに改めて設定し直したんですけれども。そういった自分の情報がもう漏れてしまう、漏れてしまうことは防げないと考えないといけないのかなんて思う。

そうです。もう漏れる前提で、漏れていい情報を入れる。漏れた時のためにクレジットカード情報を、ちゃんと明細を毎月確認する。

そうか。

こういった対策をしていただきたい。

家計簿つけないと駄目ですね。

何か照らし合わせてね、不正な取引がない。ピッとやらないようにして。

そうですね。大体100円から始まって、「このクレジットカード使えるな」って言って大きな額に。

額をちょっとずつ上げていくんですね。

はい。

こちらの対策、ぜひ徹底していただきたいと思います。増田さん、ここまでとなります。今夜ありがとうございました。

ありがとうございました。