インターネット上で、個人情報の漏えいや不正アクセス、システム障害などのニュースが相次いでいます。さらに、ソフトウェアの脆弱性が見つかったことを受け、サービスを一時停止する動きも見られます。
こうしたニュースを目にすると、「個人情報が漏れたのか」「攻撃を受けたのか」「なぜサービスが停止しているのか」と、混乱してしまう人もいるのではないでしょうか。
しかし、これらはすべて同じ出来事ではありません。何が起きたのかを正しく理解するには、被害が確認されたケースと、被害を防ぐために予防的な対応を取っているケースを区別することが大切です。
個人情報の漏えいや不正アクセスが確認されたケース
企業や行政機関が利用するシステムに不正アクセスが行われ、個人情報が外部に流出した可能性がある事案が報告されています。
原因はさまざまです。外部からの不正侵入、委託先のシステムへの攻撃、アカウントの乗っ取りなど、組織が直接管理しているシステムだけでなく、業務を委託した先や外部サービスが被害の入り口になることもあります。
また、漏えいした情報の種類や件数も事案によって異なります。氏名や住所、メールアドレス、問い合わせ内容、本人確認書類の画像など、情報の内容によって、利用者が受ける影響も変わります。
ただし、「漏えいの可能性がある」と発表された段階と、情報が外部に流出したことが確認された段階も、厳密には異なります。発表内容やその後の調査結果を確認する必要があります。
システムが停止しても、情報漏えいが起きたとは限らない
サイバー攻撃を受けたことで、業務システムやウェブサイトが停止するケースもあります。ランサムウェアと呼ばれる攻撃では、データを暗号化してシステムを使えなくする手口が知られています。
一方で、システムが停止したからといって、必ずしも個人情報が漏えいしたとは限りません。
障害の原因を調査している段階では、情報流出の有無がまだ分からないこともあります。発表時点で漏えいが確認されていない場合は、「漏えいがなかった」と断定することも、「漏えいが起きた」と決めつけることも適切ではありません。
大切なのは、システム停止の事実と、個人情報漏えいの有無を分けて受け止めることです。
人の操作ミスによる情報の誤送信
情報セキュリティ上の問題は、外部からの攻撃だけで起きるわけではありません。
メールの宛先や添付ファイルを間違える、別の組織にデータを送ってしまう、本来とは異なる保存先に情報を登録するといった、人の操作ミスによって個人情報が誤った相手に渡ることもあります。
こうした事案では、攻撃者がシステムに侵入したわけではなくても、情報が本来の目的や相手とは異なる場所に渡ってしまいます。
誤送信先でデータが削除されたと説明されるケースもありますが、それによって、誤送信そのものがなかったことになるわけではありません。誰に、どのような情報が渡り、その後どのように対応されたのかを確認する必要があります。
PHPの脆弱性を受けたサービス停止は、予防措置の場合もある
最近注目されているのが、ウェブサイトやオンラインサービスの動作に使われるソフトウェア「PHP」の脆弱性です。
脆弱性とは、ソフトウェアに存在するセキュリティ上の弱点です。悪用されると、システムへの不正侵入や、意図しないプログラムの実行などにつながるおそれがあります。
そのため、脆弱性が公表された際には、運営事業者が自社のシステムへの影響を確認し、修正プログラムの適用や設定の見直しなどを行います。状況によっては、安全を確保するためにサービスを一時停止することもあります。
ここで注意したいのは、サービスが停止していること自体は、攻撃を受けた証拠でも、個人情報が漏えいした証拠でもないという点です。
実際に不正アクセスが確認されて停止した場合もあれば、攻撃を受ける前に対策を進めるため、予防的に停止している場合もあります。原因や対応状況は、運営事業者の発表を確認しなければ分かりません。
また、脆弱性が公表されたからといって、すべてのサービスが同じように影響を受けるわけではありません。使用しているソフトウェアのバージョンや構成、公開範囲、対策の実施状況などによって、リスクは異なります。
ニュースを読むときに確認したい4つの違い
セキュリティに関するニュースを理解するときは、次の4つを区別すると、状況を把握しやすくなります。
1．情報漏えいや不正アクセスが確認された
何が起きたのか、どの情報が対象なのか、実際の流出が確認されたのかを確認します。
2．システム障害やサービス停止が発生した
利用できない状態になったことと、情報漏えいが起きたことは別の問題です。原因や調査結果を確認します。
3．人の操作ミスなどで情報が誤って扱われた
外部からの攻撃ではなくても、情報管理上の問題は発生します。誤送信先や情報の種類、回収・削除などの対応に注目します。
4．脆弱性への対策として、予防的にサービスを停止した
被害が発生したための停止なのか、被害を防ぐための停止なのかを区別します。停止の理由は、運営事業者の説明で確認することが重要です。
利用者にできること
個人が企業や行政機関のシステムを直接修正することはできません。しかし、被害を広げないためにできることはあります。
- サービス運営者や公的機関が発表する情報を確認する。
- パスワードを使い回さず、サービスごとに異なるものを設定する。
- 多要素認証が利用できる場合は設定する。
- 不審なメールやSMSのリンク、添付ファイルを安易に開かない。
- 情報漏えいの通知を受けた場合は、案内に従ってパスワード変更などの必要な対応を行う。
不安を感じたときほど、見出しや断片的な情報だけで判断せず、発表された内容と、その後の更新情報を確認することが大切です。
「被害が起きた」と「被害を防ぐ」は違う
インターネットの安全を守るためには、攻撃を受けた後の対応だけでなく、弱点が見つかった段階で対策を講じることも重要です。その結果として、サービスが一時的に使えなくなる場合もあります。
一方で、サービスの停止や障害が起きたという事実だけから、情報漏えいや不正アクセスがあったと判断することはできません。
「何が起きたのか」「何が確認されているのか」「何がまだ分かっていないのか」。この3点を分けて見ることが、セキュリティに関するニュースを正しく理解する第一歩です。
情報を守るための対策と、実際に発生した被害を混同せず、確認された事実に基づいて判断する姿勢が、インターネットを利用する私たち一人ひとりに求められています。
