セキュリティの終わりのない道

サイバーセキュリティの教科書

原著のタイトルは「Making Sense of Cybersecurity」、つまり「サイバーセキュリティのセンスを作る」と訳せるでしょうか。筆者の言う「センス」とは以下の3つを指します。適切さバランス持続可能性セキュリティはとことん突き詰めようとすれば際限がなく、費用も青天井になりがちです。また、大企業と中小企業では、従業員数や保有する情報資産、取引先の数、そして何よりかけられる予算が全く異なります。そのため、自社にとって適切な規模の対策をバランスよく行わなければ、セキュリティ対策自体を持続することができません。特に「持続可能性」は重要です。セキュリティ対策は、テンプレートに従って一通りのドキュメントを作成し、ツールを導入したら「あとは放置」というわけにはいきません。対策は日々の活動の中で劣化し、その間にも新たな脅威が登場してきます。「セキュリティ担当、また同じことやっているのでは？」と周囲から疑惑の目を向けられつつも（？）、繰り返しの活動を継続しなければならないのです。エンタメと実在のハッカーたち本書の内容は基本的ですが、単なる知識の羅列ではなく、読者の興味を惹くような構成になっています。例えば、映画『ウォー・ゲーム』（米軍のセキュリティの脆さを知らしめ、各種対策や法律制定に影響を与えた話題作）や『スニーカーズ』、書籍『ハッカーを追え』など、コンピュータ普及期にセキュリティ問題を突いたエンタメ作品が紹介されています。情報を盗み、売りさばき、暴露するエピソードは、決してエンタメ世界だけの架空の話ではありません。本書では実在のハッカーについても触れられています。世界で初めてワームを作成し有罪判決を受けたロバート・T・モリス。...

2025, Nov 30 —

サイバー攻撃から暮らしを守れ！

別のブックレビューがたくさん詰まっているのですが、こちらのブックレビューを差し込みます。ご存じ、日本憲政史上初めて女性の総理大臣となった高市早苗総理。かつては自民党のサイバーセキュリティ対策本部長を務めていたこともあり、さらには20年前にはイノベーション・科学技術政策担当大臣（兼IT担当大臣）もつとめており、日本でこの分野についてはもっとも経験値を持っている政治家の一人ではないでしょうか。総理大臣就任の所信表明にも　ＡＩ・半導体、造船、量子、バイオ、航空・宇宙、サイバーセキュリティ等の戦略分野に対して、大胆な投資促進、国際展開支援、人材育成、スタートアップ振興、研究開発、産学連携、国際標準化といった多角的な観点からの総合支援策を講ずることで、官民の積極投資を引き出します。とあります。そんな高市早苗総理が今から7年前に編著した本書、当時サイバーセキュリティをどう認識していたのか、今後の私たちセキュリティ専門家にとってどのような影響があるのかを探っていきます。まず最初の章を読んで思ったのが、この本は一般的な”国民の皆様”をターゲットとしてはおらず、セキュリティに詳しい人向けに書かれていること。専門の単語も使われています。AIって8年前から（もっと昔から）言葉としてはありましたが、今の爆発的進化はさすがに予想できていなかったでしょうね。しかし当時すでにランサムウェアの用語が載っているとは、分かっている人には見えているのですね。2020年の東京オリンピックの時に「サイバーセキュリティ人材が足りない」と政府が言っていましたが、もともと高市総理が安倍元総理に渡していたセキュリティの提言に、2019年以降のセキュリティ人材の強化と法制度整備を推進するよう記載されていたようです。次いで各産業で発生したサイバー攻撃についての説明を多くのページで割いています。報告書のようなフォーマットで、各産業の対策についても説明が冗長になっていること、箇条書きで記載されていることから、読者に読ませる文章というよりは、この文章を（多少改変したかもですが）実際に国会で提出したのだと自分は読み取れました。セキュリティに携わっている人にとっては「そういえばそんなのあったな」と懐かしい気持ちになることもあるでしょう。しかし知識のない人が当時読めば「今サイバー攻撃はこれくらい身近になっているのか」と感じたことでしょう。そして当時と比較して、サイバー攻撃の質・量とも今は増えています。アメリカのサイバーセキュリティ政策についても解説されていますが、この内容から高市総理はアメリカのサイバーセキュリティ界隈にもコネクションがありそうですね。アメリカのサイバー防衛策を日本に積極的に取り入れることも考えているはず。感想としては、私たちがサイバーセキュリティ対策としてIPAなどの公的組織から実施するよう指示されている施策は、この章に書かれているような文書が国会で審議され、可決されたのち現場に降りてくるのだろうな、と思いました。「セキュリティ・バイ・デザイン」や「サプライチェーンリスク」「セキュリティを”リスク”から”投資”に」見慣れたフレーズがちらほらと。国会での議論から現場に落ちてくるのはタイムラグがありますね。また当時からすでに「AIには多くの電力が必要となる」ことに言及しており、AIのこの時代に高市総理が総理の立場にいる点にはとても期待しています。最終章には当時の高市総理の個人的な考えも書かれており、高市総理はテクノロジーオプティミスト（、技術の進歩がもたらすポジティブな変化に対して楽観的な見方をする人や思想）ですね。以下のような課題をICTによって解決できると考えています。生産年齢人口の減少インバウンドによる外国人への増加一次産業に従事する労働者の高齢化...

2025, Nov 15 —

2025年10月の気になるインターネット記事をピックアップ

9月がまだまだ暑い！とか書いていたのに、10月下旬はもう冬のような寒さです。秋はどこいっちゃんでしょうね？ランサムウェアが流行ってます先月は、ランサムウェアによる被害のニュースが相次ぎましたね。特に、アサヒやアスクルといった、誰もが名前を知っている大企業が業務に支障をきたす事態となり、その深刻さが改めて浮き彫りになりました。一般のニュースでも「ランサムウェア」という言葉を聞くようになり、これは従業員に対して企業のセキュリティ対策の意識を高める絶好の機会だと考え、この記事を書きました。「私はロボットではありません」詐欺に注意してくださいこちらも先週公開した、社内の従業員への注意喚起を目的とした記事です。ランサムウェアは、ファイルを暗号化するなど「マルウェア（悪意のあるソフトウェア）が取る行動」の種類を表します。一方で、クリックフィッシングは、利用者をだましてマルウェアを感染させる「手口や手段」を指す言葉です。つまり、クリックフィッシングという手口でランサムウェアに感染させられるケースもあるわけです。セキュリティ対策は、最も弱い部分から攻撃を受けます。　専門家には既知の情報であっても、「自分は知っているから大丈夫」と軽視してはなりません。それにしても、私たちが普段よく目にする「私はロボットではありません」のバナーそっくりの偽物を作るなんて、悪意のある攻撃者はどこまで巧妙なのでしょうか。この偽のチェックボックスをクリックすると、マルウェアのダウンロード・インストール命令をクリップボードにコピーするという、非常に悪質な手口です。パスワードは、特殊文字などの「複雑さ」ではなく「長さ」を求めることを推奨〜NISTがガイドライン更新 NIST（米国国立標準技術研究所）が、パスワード作成に関する最新のガイドラインを更新しました。これにより、これまで私たちが　「常識」としていたことが、実は「非推奨」　となっているため、私たちの知識もアップデートが必要です。...

2025, Nov 08 —

「私はロボットではありません」詐欺に注意してください

先日、従業員の方から「Webサイトを見ていたら『私はロボットではありません』という画像が表示されたけど大丈夫？」と相談がありました。この表示は、多くの方が一度は見たことがあると思います。通常、Googleなどが「このアクセスは人間ではないかもしれない」と判断した場合に表示されます。主な表示理由マウスの動きが機械的で不自然短時間に大量アクセス（botの可能性）非常に古いブラウザを使用している送信元IPアドレスがブラックリスト入り多くの場合は問題ありませんが、最近この「私はロボットではありません」画面を悪用した詐欺（クリックフィックス）が急増しています。不正な操作へと誘導しマルウェアに感染させる「クリックフィックス」ネットでよくある質問｢人間ですか？｣に潜む罠､不正な操作へと誘導しマルウェアに感染させる｢ClickFix（クリックフィックス）｣攻撃の被害急増クリックフィックスは、「クリックすることで問題を解決します」と装い、ユーザーを騙してマルウェア感染などの不正操作へ誘導するサイバー攻撃です。 2024年以降、世界的に被害が急増しており、日本でも警察庁が注意喚起しています。サイバー警察局たよりクリックフィックスの手口...

2025, Nov 03 —

ランサムウェアが流行ってます

近年、ランサムウェアによる被害が大きな社会問題となっています。ランサムウェアとは、利用者のシステムに不正侵入し、データを暗号化して使えなくしたうえで、「元に戻してほしければ金銭を支払え」と要求する悪質なソフトウェアです。最近ではデータを暗号化せず、盗み出した情報を「公開する」と脅す“ノーランサム”型の攻撃も増えています。実際に起きた被害事例アサヒホールディングスランサムウェア被害で出荷サービスやコールセンター業務が停止し、ビールの出荷までできなくなりました。サイバー攻撃によるシステム障害発生について竹内製作所（米国子会社）サーバが攻撃され、一部データの暗号化・外部流出が発生しました。連結子会社におけるランサムウェア被害に関するお知らせアスクル Web注文システムが停止し、無印良品など取引先にも影響。「サプライチェーン攻撃」の代表例です。【重要】ランサムウェア感染によるシステム障害発生とご注文受付停止のお知らせとお詫びランサムウェアは他人事ではありません。情報セキュリティ10大脅威では2016年から10年連続でランクイン。昨年は脅威ランキング第1位。そもそもテレビのニュースで使われている用語ですから、残念ながら市民権を得てしまったということです。...

2025, Oct 25 —

AI・量子コンピュータにかかわるリスク管理

テクノロジーの進化はすさまじいスピードです。特に、スマートフォン以来の社会を大きく変革するテクノロジーとされるAI。ものすごいお金が投入されており、各社、凄まじいスピードで新バージョン、新サービスを公開しています。なにより検索の王者であるGoogleが検索を捨てるかのようにLLMに全振りしているとこからも、彼らの危機感と本気度がうかがえます。また、AIに比べるとあまり聞かれない用語ですが「量子コンピュータ」というものがあります。従来のコンピューターとは全く異なる原理で動く、次世代のコンピューターです。従来のコンピューターが「ビット」を使って情報を「0」か「1」のどちらかで表現するのに対し、量子コンピューターは「量子ビット」という単位で情報を扱います。量子ビットは、「0」と「1」の両方の状態を同時に持つことができます。例えるなら、コインが表と裏の両方を同時に向いているような状態です。n個の量子ビットがあれば、2のn乗通りの状態を同時に表現できるため、膨大な情報を一度に処理できます。量子コンピュータは従来のスーパーコンピューターでも膨大な時間がかかるのに比べて、はるかに高速に解くことができるとされています。この２つの最新テクノロジーが、セキュリティに対してどのようなリスクがあり、どう対応していくべきか、について書かれた本が本書になります。海外の本の翻訳ではないのですが、非常に分厚く濃密な力作です。読むのがたいへんでした。前半は量子コンピュータ。量子コンピュータはAIと異なり現状誰もが利用できるものではありません。ハイスペックなコンピュータが必要なのはもちろん、絶対零度に近い環境で制御する必要があり、エラーの訂正技術も必要となります。しかしこれらの課題が克服された量子コンピュータ、これを”CRQC”(「Cryptographically Relevant Quantum Computer」の略で、日本語では「暗号解読関連量子コンピューター」と訳されます）と呼びますが、CRQCが登場した場合は、従来のコンピューターでは事実上不可能だった、現在の公開鍵暗号を現実的な時間で復号できてしまうという、現在のサイバー空間の前提を崩してしまう可能性があるとされています。また、Googleが「2029年までに商用利用可能な規模の量子コンピュータの開発を目指している」とのことです。この本では世界各国がCRQCについて調査を行っていることが解説されており、おおよそ2035年前後にCRQCが登場し、それによる暗号解読のリスクを考慮し、備える必要があるとのことです。この本で紹介されていた「ハーベスト攻撃」というものが勉強になりました。現在の技術では復号できない暗号化されたデータを今のうちに詐取(文字通り”収穫”しておく)して、来るべきCRQCの登場まで保管しておき、CRQCの登場で一気に復号化するという攻撃です。昨今のセキュリティインシデントで「漏洩した情報・紛失したＰＣの情報は暗号化されているのでリスクは低い」というアナウンスを聞きますが、これが未来の時限爆弾になってしまうという恐ろしい攻撃です。また、情報資産台帳で『このデータは暗号化されているのでリスクは低い』と定義づけしていた情報が軒並み見直しを迫られるため、セキュリティ対応の工数の増加が考えられます。追加の対策として”クリプトインベントリ”=対象の資産・システムで利用されている暗号の使用状況やアルゴリズムをきちんと管理しておき、CRQCに対して対策ができているのか、という管理が必要になることが提示されていました。防御側も何もしていないわけではなく、PQC (Post-Quantum Cryptography) アルゴリズムという、量子コンピュータに対して耐性を持つアルゴリズムが2024年にNISTによって標準化されました。こちらの導入が先進的な企業では進んできており、我々末端の会社も順次この暗号システムに置き換えていくことになりそうです。とはいえ生まれたばかりのPQCは信頼性や実績という点でまだまだ問題を抱えているため、既存の暗号化アルゴリズムとのハイブリット暗号が現状は想定されています。...

2025, Oct 18 —

2025年9月の気になるインターネット記事をピックアップ

今回は取りあげる記事の数は少ないものの、大きく取り上げられたセキュリティに関する２つの話題について書きます。 9月は特にサプライチェーン攻撃が印象に残った1か月でした。便利なOSS無くして現代のソフトウェアは成り立ちませんが、あるソフトウェアが別のソフトウェアを内部で利用していて、そのソフトウェアも内部で別のソフトウェアに依存していて…という鎖(チェーン)で構成されています。このチェーンの1か所が切れてしまうとシステム全体が機能不全になってしまう。これがサプライチェーン攻撃です。脆弱性「s1ngularity」とは何か？AI悪用・機密情報流出をもたらす新型サプライチェーン攻撃の概要今回ターゲットとされたのはビルドツール「nx」です。「nx」は、JavaScript、Java、Go、Pythonなど様々な言語で記載されたソースコードを管理・処理し、それらを実行可能な成果物（Webアプリケーションが動くファイル、サーバーサイドの実行ファイルなど）にするためのパッケージです。 nxは人気のパッケージ管理システムnpmでインストールすることができますが、npmのストレージのアクセス権が漏洩したのか、ストレージに改ざんされたコードがアップロードされます。npmの特徴として、npmコマンドを実行したフォルダの直下に存在するpackage.jsonというjsonファイルに、インストールするライブラリのリストや、インストール前後の処理を記述する機能があり、改ざんされたnxのコードには、nxインストール時に悪質なコードを一緒にダウンロードし、実行するように記述されていたとのことです。改ざんされたコードがどのように振舞うかはこの後説明するとして、今回の脆弱性がサプライチェーン攻撃と言われる理由は、「人気のパッケージ管理システムnpmでインストールされるパッケージが改ざんされたことで、多くのユーザが影響を受けてしまった」点です。特にnpmはpackage.jsonを使って複数のソフトウェアをまとめて（ユーザが意識することなく）ダウンロードし、さらにダウンロードされたツールを実行する命令文を書ける利便性が悪用されました。加えて特筆すべき点が悪意あるコードの実装、動作の挙動。post-installでインストール後に実行されるコードには、ローカルPCにインストールされている可能性があるAIコマンドラインツール（例: Claude、Gemini、GitHub Copilot CLIなど）を探し出して、AIエージェントに対して様「このPCの公開鍵情報を取得して」「このPCのクレデンシャル情報を取得して」などの問い合わせを行う命令文（プロンプト）が記載されていた点です。従来であれば複雑なロジックを記載して実現していた攻撃を、AIに代替わりさせたのです。窃取した機密情報は被害者のGitHub上に公開リポジトリ「s1ngularity-repository」が作成され、そこで暴露されたとのことですが、”s1ngularity”という名前は「Singularity（特異点）」をもじったものと思われます。AIを活用したサイバー攻撃という点で確かに特異点のような存在かもしれません。文章で説明すると分かりにくいので画像にしました。まとめると以下のような挙動となります。この画像も生成AIに指示して作ってもらいました。正しく使えば便利なAIも悪用すれば破壊的な効果を持ちます。さらに9月は「Shai-Hulud」（シャイ・フルード）ワーム攻撃という「s1ngularity」攻撃と非常に似た手口を使いながら、より深刻なサプライチェーン攻撃がありました。「Shai-Hulud」ワームがサプライチェーン攻撃でnpmエコシステムを侵害まず、npmの管理者に対してフィッシングメールを送り、認証情報を盗みます。s1ngularityはnxライブラリのみが対象でしたが、こちらは複数のパッケージ（人気のパッケージの管理者の認証情報も盗まれたとのことです）が改ざんされ、アップロードされたとのことです。s1ngularityと同様に、package.jsonに仕込まれたpost-installスクリプトによって悪意あるコードが自動実行され、機密情報がスキャンされ、被害者の公開リポジトリに暴露されます。...

2025, Oct 05 —

生成AIによるサイバーセキュリティ実践ガイド

※生成AIは、画像・音声・文章などのデータを生成する人工知能技術の総称です。一方で、LLMは生成AIのなかでもテキストデータを生成することに特化した技術のことですこのブログで幾度も書いていますが、LLM（大規模言語モデル）の進化はすごいものがあります。業務に利用し始めたのは2年前くらいかな、最初は「まだまだだな」「こいつ平然とウソをつきやがって」と思っていたのですが、最近はハルシネーションも減っており（LLMに「その情報のソースも提供してください」と念押しする必要がありますが）、Google検索が汚染されていることもあってもはや検索よりまずAIに聞く、という時代になっています。なにより検索の王者であるGoogleがGeminiという高性能なLLMを無料で提供しています。まさにNo AI,No LIFEの時代になったと言えるでしょう。こちらのかたのX(旧twitter)への投稿にある「デジタル・ゴッド」という表現は象徴的ですよね。まさにLLMは神のような存在です。この本はLLMの中でも代表的な存在であるChatGPTを用いて、サイバーセキュリティ活動を行う人がどのような助けを得られるかを紹介しています。最初はブラウザでのChatGPTの利用や、OpenAIのAPIを利用したプログラムやソフトウェアからLLMを利用する方法が紹介されています。自分の場合は既に業務でLLMを利用している（頼っている）こともあり目新しい内容ではなかったですが、今まさにLLMを仕事の中で使いたい、という人にとっては分かりやすい説明となっています。次に、サイバーセキュリティの様々な活動にLLMが利用できることが紹介されています。LLMは私たち以上の知識を持っています。とはいえLLMは自分で手を動かすことはできないので、自分の知識を基にLLMに指示を出し、色々なこと業務のサポートに利用できます。 1.PCの構成管理を入力して、脆弱性の診断を行う 2.プログラムコードを入力してリスクのあるコードを洗い出す 3.会社のセキュリティ活動で何を行うべきかをリストアップし、読みやすいようmarkdown形式でドキュメントを作成 4.従業員の社員教育のためにeラーニング用の問題を作成 5.従業員のフィッシング詐欺メール対策のため、メール本文のサンプルを生成...

2025, Sep 27 —