政府、AIを使った大規模侵入調査に注意喚起 Webサイト運営事業者に基本対策求める

内閣官房の国家サイバー統括室は11月5日、国内で相次ぐ個人情報の漏えいを受け、Webサイトやモバイルアプリを運営する事業者向けの注意喚起を公表しました。最近の漏えい事案について「基本的な対策が十分でなかったことが原因とみられる事例を複数確認した」と説明し、事業者へセキュリティ対策の徹底を求めています。

同統括室によると、攻撃者はインターネット上のWebサイトなどを大規模に調査し、侵入可能なシステムを探して個人情報を窃取しているとみています。こうした標的の調査や侵入にはAIが利用されている可能性が高いと分析しており、従来の脆弱性診断では比較的低リスクと評価されていた複数の問題を組み合わせることで侵入につながったり、攻撃の大規模化が容易になったりしたことで、幅広い事業者が標的になっているといいます。あわせて、モバイルアプリ開発時のセキュリティ対策不足や、Webサイトの設定不備、サポート終了ソフトウェアの継続使用など、事業者側の基本的な対策の不足も複数確認されたとしています。

注意喚起では、個人情報を取り扱う事業者に向けて3つの分野で対策を示しました。1つ目は運用・管理段階の対策で、使用ソフトウェアの構成や脆弱性の把握、不要な管理画面の非公開化、AIを使った継続的な脆弱性診断やログ監視を求めています。2つ目は設計・開発段階の対策で、「セキュリティ・バイ・デザイン」の徹底やAPI経由の不正な情報取得への対応、公開前の脆弱性診断を推奨しました。3つ目は委託先などサプライチェーンを経由した侵入への対策で、接続経路の洗い出しと多要素認証の導入、OSSや外部ライブラリの脆弱性公表時の初動手順の整備を求めています。

国家サイバー統括室は、内閣官房に置かれ政府全体のサイバーセキュリティ政策を担う組織です。今回の注意喚起で繰り返し出てくる「セキュリティ・バイ・デザイン」とは、システムの開発当初から、後付けではなく設計段階でセキュリティ対策を組み込む考え方を指します。

同統括室は今回が初めてではなく、10月9日にも修正パッチの速やかな適用や多要素認証の導入といった組織全体向けの基本対策を求める注意喚起を公表しています。今回はその対象をWebサイトやモバイルアプリの運用・開発の現場にまで広げた形です。背景には、単体では軽視されがちな小さな脆弱性や設定ミスが、AIによる広範な探索を通じて組み合わされ、侵入経路として悪用されているという分析があります。1社の対策漏れが、委託先や取引先を通じて別の会社の被害につながる構図も指摘されており、自社だけの対策では不十分になりつつあります。