GMO不正アクセス、サーバを止めてもパスワードを変えても…被害が続く“ある抜け穴”(3/4)

誰が責任を負う？ GMO・金融会社・利用者の“継ぎ目”

　さて、本質的な話をしたい。今回の構図には、クラウド事業者のGMO、口座を預かる金融会社、そして利用者の3者が登場する。クラウド事業者は顧客の資金を預かっておらず、金融会社は自社が侵害されたわけではない。利用者は被害者でありながら、認証情報の保管を、結果としてクラウドに委ねていた。

　クラウド事業者が突かれ、その衝撃が玉突きのように利用者の口座、金融会社へと伝わった。責任の所在が曖昧になりやすい位置で、被害が起きたわけだ。

　GMOの会員規約には、賠償額の上限を利用料金の1カ月相当額とする条項や、接続中の行為の結果について原則として責任を負わないとする条項がある。事業者会員には一切責任を負わないとの定めもあり、故意・重過失の場合に通常の損害を賠償するとのただし書きは、事業者会員以外が対象だ（注12）。


　GMOは今回、不正アクセスが原因と認めた損失の補償や代替サービスの無償提供に加え、情報公開に伴う特別お見舞金も発表した（注8・13）。


　筆者が気になるのは、補償の多寡よりも責任の「継ぎ目」だ。契約上の責任が限定的でも、顧客の信頼という意味での責任は限定できない。自社が直接侵害されなくても、取引先のクラウドや顧客の接続環境が破られれば、被害は自社の口座で表面化する。契約、補償、連絡体制は平時のうちに決めておく必要がある。

社内の事前指摘…危機感が経営に届かない“もどかしさ”

　もう1つ、筆者が感じたのは、意思決定の問題だ。GMOインターネットグループの熊谷正寿代表は自身のブログで、社内のホワイトハッカーから課題が事前に指摘されていたものの、優先順位を考慮した結果、対応の深さと速さが十分でなかったと説明した。指摘された課題の内容は公表されておらず、今回の入り口と同じかどうかも分からない（注14）。


　それでも、現場の危機感が意思決定の場に伝わらない、あるいは伝わっても「GOサイン」が出ないもどかしさは、程度の差こそあれ、多くの組織に覚えがあるのではないだろうか。

　いくら優れた診断や製品があっても、直すと決めるのは人だ。指摘を台帳で管理し、重大度ごとに期限を決め、期限を過ぎたら経営に報告し、直せないなら暫定策で緩和する。そうした仕組みがあって初めて、現場の指摘は経営の意思決定につながる。ただし、これは一般論であり、今回そうだったという意味ではない。

AI時代の防御、変えるべきは「運用の速さ」

　攻撃の手口は、情報やツールの流通によって手軽になってきた。AIの急速な普及は、この傾向をさらに加速させると考えられる。

　ただし、ここは切り分けたい。本件でAIが使われたという根拠は、原稿執筆時点では示されていない。熊谷代表はAIの悪用で脅威が増しているという認識を示したが、個別事案の侵入手段を確定したものではない。国内で相次いだ別の不正アクセスでは、JPCERTコーディネーションセンター（JPCERT/CC）などがAIの関与を指摘する報告を出しているが、本件との関係は公表資料から確認できていない（注15）。


　AIが変えるのは、速度とコストだ。偵察や脆弱性の探索が自動化・高速化すれば、放置された弱点が見つかり、悪用されるまでの猶予は縮む。

　とはいえ、防御の核は変わらない。最小権限、環境の分離、多要素認証、パッチの適用、不要機能の停止、ログの監視、指摘事項の管理。地味だが、結局はこれらだ。

　変えるべきは運用の速さである。是正の期限を短縮し、資産と外部公開面を継続的に棚卸しし、検知から遮断までを自動化する。AI時代の防御とは、基本の不備を速く潰す競争なのだと思う。では、自社は同じ事態に備えられているだろうか。 【次ページ】【チェックリスト】決めるのは人…自社を点検する10項目