国内Web侵害119件、“情報漏えいドミノ”の背後でいま何が起きているか：止まらないセキュリティ事件の背景は？（2/2 ページ）

[田渕聖人，＠IT]

「セキュリティに投資していても被害は防げない」　その3つの理由

――マクニカのブログでは、7月以降に公表された81事案の被害原因の内訳として、手法1．製品やCMSなどの脆弱性（11.1％）、手法2．認証情報の悪用（4.9％）、手法3．設定／アクセス制御など不備（3.7）％、説明不足（80.2％）と示されています。詳細をお聞かせください。

瀬治山氏：企業の公式発表では全体の約80.2％が「不正アクセスを受けた」という程度で詳しい原因分類が書かれていません。そのためここでは一律で「説明不足」としています。しかし、私たちが実際の事案対応やログ分析から把握している実態としては、これらの事案は「手法3」に当たる個別Webサイトの不備や設定ミス、APIのアクセス制御欠陥を突かれたケースが圧倒的に多いと感じています。

　例えば、スマホアプリを解析して取り出したAPIキーで情報を取得したり、アクセス制御の不備を突いて、本来は閲覧できない情報や一般利用者には許されない機能にアクセスしたりする手口が確認されています。一般的なCMSなどの既知の脆弱性と異なり、手法3はCVE番号が振られないWebサイト固有の不備であるため、「ここを修正すれば安全」という共通パッチが存在せず、企業側も対策を発信しにくい側面があります。

――「定期的に脆弱性診断をしたり、WAFを導入したりしている」はずの大手企業や有名サービスでも被害が発生しているのはなぜでしょうか。

瀬治山氏：セキュリティ意識が高く、積極的に投資をしている大手企業でも被害を防げない理由は3つあると考えています。

　1つ目は「API経由の通信」です。正規の形式のリクエストでも、その利用者に許されていない情報を返してしまう場合があります。こうした認可制御や業務ロジックの不備を突く攻撃は、アプリケーションの仕様を踏まえなければ不正と判断しにくく、WAFだけでは防ぎきれないことがあります。

　2つ目は「網羅性と頻度」の問題です。診断には時間や予算、対象範囲の制約があり、APIや管理画面など、確認が行き届かない部分が残ることがあります。一方、AIは24時間365日、マシンスピードで網羅的に不備を探し続けます。

　3つ目は「事業継続（サービス停止）への配慮」です。診断時に高負荷をかけたりシステムを停止させたりできないため、安全な範囲でしか検査できません。攻撃者はサービスへの影響も気にせず、停止やデータ破損につながり得る危険な操作も自由に試行しますが、防御側はそうもいきません。

企業が今すぐ入念に点検すべき項目4選

――このような事態を受け、企業はどのような対策を優先して進めるべきでしょうか。

瀬治山氏：まずは自社のWebサイトやAPIの「不備の再チェックとログの確認」が最優先です。ブログでも示しましたが、管理機能への不審アクセス、DBの高負荷や大量セッションの消費、エラーの急増などの兆候がないかどうか、さかのぼってログを検証する必要があります。

　具体的には、以下の点を入念に点検してください。

• APIを含めて強い権限を持つ機能が、サーバ側で適切にアクセス権を検証しているかどうか
• APIが必要以上のデータ（ゲストアクセスで不要な個人情報など）を返していないかどうか
• Webブラウザやアプリ側のコードに、秘密にすべきAPIキーやDB認証情報が埋め込まれていないかどうか
• 保管目的を終えた不要な個人情報や、備考欄などに残った想定外の情報がたまっていないかどうか

　長期的には、企業が公開しているWebサーバの数（アタックサーフェス）そのものを減らすことが不可欠です。日系の大企業では平均約2000台もの公開サーバを保持しているケースがありますが、特設サイトなどを安易に作らず管理対象を絞り込む必要があります。

――今後の展望や、守る側の対策の方向性についてお聞かせください。

瀬治山氏：私たちが調べる限り、今回の事案は特定のゼロデイ脆弱性を突いたものではなく、AIが得意とする「基本的な不備の発見」とそれを突いた攻撃の組み合わせです。しかし、近い将来、AIがゼロデイを見つけ出し攻撃で悪用される世界が訪れます。

　ですから今後は攻撃者だけでなく、防御側もAIを活用した事前探索「AIペネトレーションテスト」やASM（Attack Surface Management）を本格的に導入すべきです。被害に遭ってから対応するのではなく、自社でAIを使って先回りして不備を見つけたり、公開サーバを必要最小限にしたりするような体制への転換が求められるでしょう。

　また、今回はWebサイトの不備が狙われましたが、同様の手法がFTPやSSHなど本来開くべきでないポートに向けられた場合、サーバ乗っ取りや内部侵入など、Webとは比較にならない壊滅的な被害に発展する恐れがあります。

　連日の報道で世の中に情報漏えいに関する「まひ感」が出始めていますが、実際に被害に遭った企業の打撃は極めて深刻です。業界内での情報共有を進めるとともに、この危機をセキュリティ体制を根本からギアチェンジする契機にしてほしいと考えています。

――ありがとうございました。