異常ではなく新しい日常 ～ 昨今の不正アクセス・情報漏洩事案に思うこと
はじめに
全クライアントにMFA強制を一般ユーザーにまで拡大することを通達した文章からの抜粋です。参考になれば幸いです。
異常ではなく新しい日常
先日、「生成AIの悪用によるセキュリティ上の脅威の高まりについて」と題して注意喚起をさせていただきました。
それからわずか2日ですが、不正アクセス・情報漏洩の公表が相次いでいます。
- 楽天ドライブ、不正アクセスで1.5万アカウントの保存データ流出（アスキー） – Yahoo!ニュース
- 大和証券､22万件の顧客情報漏えい可能性－委託先に不正アクセス | TBS CROSS DIG with Bloomberg
- Gポイントに不正アクセス、「会員識別子」最大約7万件流出の可能性 – ケータイ Watch
- 【重要】ABAHOUSE – 不正アクセスによる個人情報漏えいに関するお詫びとご報告
現在起きている不正アクセス・情報漏洩事案は、高性能なAIモデル（※）を悪用した無差別な攻撃によるものと考えられます。
アメリカでは「サーバーの電源を落としてほしい」という緊急要請が出される事案まで発生しています。
Kiteworks、停止要請を受けた顧客にシステムの再起動を促す – TokyoBlackHatNews
https://blackhatnews.tokyo/archives/143991
こうした脅威の高まりは、一時的なものではありません。
インターネットサービスに最低限求められる「セキュリティ保護レベル」が格段に上がったのであり、恒久的な変化です。
（その意味では、もはや「異常」ではなく「新しい日常」と言えます。）
弊社管理のサーバーについては、現時点で可能な対策を実施いたしました。
万が一サーバーに不正侵入されても秘密鍵を発見されづらいところに移動、バックアップの二重化に加えて、OSやその上で動くソフトウェアから提供されるセキュリティ関連パッチ（修正プログラム）の適用間隔を、これまでの1か月から1日以内に短縮しました。
(パッチ適用により、予約サイトや管理サイトでわずかながら障害が発生する可能性があり、その頻度が上がることは弊社の保守コスト増に直結しますが、やむを得ない判断です。)
（※）中国の高性能なモデルは、オープンソースとして「誰でも」利用できます。米国の最先端生成AIモデルに半年ほどで追いつくと言われており、5月に話題となったAnthropic社のMythosレベルのものは、すでに出回っていると考えられます。
追加の対策: 管理サイトの一般ユーザーにもMFA(多段階認証)を義務付け(強制)
既にサイト管理者に適用しているMFAの強制を一般ユーザー(宿泊施設、アクティビティ事業者)にも拡大します。
お忙しいところお手数をおかけいたしますが関係者への周知をお願いいたします。以下がマニュアルです
ここまで猶予してきたのは、事業者にはネットに不慣れな方が少なくないのでMFA有効にすると「利便性が低下」するだけでなく「問い合わせ」増などもあると想定されるので「利便性」を優先してきました。
今は、セキュリティ対策を優先する状況だと考えられます。
管理サイトに本当の認証情報(=典型はパスワードを使いまわしていて他サイトで漏れたものが利用される)でログインされてしまうと「個人情報漏洩」に直結します。
そして、管理サイトからの情報漏洩は、予約情報など正確な情報が本当のサイトから配信されるので、フィッシング詐欺など二次被害に直結します。
これは、過去にBooking.comで発生しています。
以下、省略。
最後に
きついなぁ・・・。怖いなぁ・・・。
環境の激変は脅威だけでなく機会にもなりえるとはいえ、しばらくは枕を高くして眠れなそうです。汗
