「サービス側からの流出は防げない」大臣の呼びかけに447件

10月6日、古川デジタル相が記者会見で、企業で相次ぐ不正アクセスによる個人情報の流出について「サイバー攻撃は企業や組織だけの問題ではない。国民一人一人の対策が被害の防止につながる」と述べた。そのうえで、パスワードの使い回しをやめる、多要素認証を利用する、不審なメールやSNSに注意する、という三つの対策を国民に呼びかけた。時事通信はこの発言を「自分の情報は自分で守って」という見出しで伝えた。

この記事に、はてなブックマークで反応が集まった。本誌が10月7日に確認した時点で、ブックマークは730件、コメントは447件に達していた。

並んでいたのは、ほとんどが批判だった。「The 無能」のような短い言葉が繰り返され、デジタル庁自身の漏えいを持ち出す声もあった。その中で、いちばん具体的だったのが次の指摘である。「パスワードの使い回しをやめても多要素認証を導入してもサービス側からの流出は防げない。防げるのはリスト攻撃だけ。」

パスワードを変えても、守れないもの

この指摘が何を突いているのかは、2日前の出来事と並べると見えてくる。10月4日、サイバー犯罪のフォーラムに「SELLING Rakuten Japan 101M」（原文ママ）という投稿が現れた。楽天のデータベースとして約1億100万件を700ドルで売る、という主張だった。セキュリティ企業ロケットボーイズの検証記事（10月6日）によると、含まれるとされたのは氏名、メールアドレス、電話番号、住所、生年月日、会員ランク、ポイント残高、最終ログイン日時などで、サンプルにパスワードやクレジットカード番号は掲載されていなかった。

大臣が挙げた三つは、パスワード、認証、フィッシングへの注意である。いずれも、IDとパスワードを使った不正ログインを防ぐための対策だ。一方、売りに出されたとされる項目のうち、氏名と住所と生年月日は、利用者があとから変えられない。コメントが突いたのは、この食い違いだと読める。

ただし、三つの対策が無意味というわけではない。ITmedia NEWSの記事によると、多要素認証は、IDとパスワードが漏えいしたあとの不正ログインを防ぐのに効果的だという。流出したIDとパスワードを別のサービスで次々と試す攻撃には、使い回しをやめることと多要素認証が効く。

楽天は「確認されておりません」と答えた

では、1億100万件は本物なのか。楽天グループはアスキーの取材に「お問い合わせいただきましたような情報漏えいが発生したという事実は確認されておりません」と答え、掲載されたサンプルについても「該当するアカウント等は確認されておりません」としている（10月6日18時配信）。

検証したロケットボーイズも、サンプル18件については、会員ランクとポイントの関係が楽天PointClubの公開条件と矛盾しないとしている。ただし、1億100万件全体が本物かどうか、どこから出たものかは確認できていないと書いている。10月4日15時の時点では、楽天グループの公式発表はなかった。つまり、流出があったと確かめられたわけではない。確かめられているのは、売ると主張する投稿と、700ドルという値段と、18件のサンプルだけである。

ネットの評判

はてなブックマークのコメントでは、企業側の責任を問う声が目立った。企業が無駄な個人情報を持たないよう罰則を厳しくすべきだ、過剰な収集も規制してはどうか、といった意見が出た。個人にできることとして、そもそも情報を渡さない、渡しても削除を求める、という書き込みもあった。一方で、報道は会見の切り抜きかもしれないとして、発言の原文を読みたいという声も少数あった。

Xでは、別の角度の話題になった。10月5日の「連日の不正アクセスの件、マジでシャレにならないが、こんなやばいの日本だけ？」（原文ママ）という投稿が注目された。投稿と返信をまとめたページ（Togetter）には、デンマークで国民約880万人分の住民登録データ、米国で国防省職員300万人超、フランスで社会保険1200万人分といった各国の事例が返信で並んだ。日本だけが異常なのではなく、サイバー攻撃そのものが世界規模で高度化しているという指摘が多かった。

大臣が挙げた三つの対策は、パスワードが盗まれたときに効く。売りに出されたとされる1億100万件に、パスワードは入っていない。

この話、あなたはどっち？ →