Transcription
[音楽]
今、国内外において政府機関や重要インフラへのサイバー攻撃事案が多数発生しています。
サイバー攻撃？ そんなのうちのシステム部が何とかしてくれるよ。あんまりお金かけたくないしね。との考え間違ってます。今やサイバー攻撃対策を徹底するのは企業にとって非常に重要なこと。
[音楽]
もし、会社のサーバーやPCが使えなくなったら、機密情報やお客様の個人情報が漏洩してしまったら、あなたの会社が感染となってお得意先や親会社が攻撃に巻き込まれてしまったら資産価値をなくし、社会的信用をなくし、株価は下落。今この瞬間にも起こりうる攻撃、それは倒産の危機を招いています。
大きく恐ろしい可能性に備えて、東京に本社を置く7月は関東県でLPガス の小売りとおろし売りを行う中規模企業である。近年のガス自由化に伴い都市ガス事業への新規参入も果たしている。
いかがでしょうか？
この日、システム管理部は見積もり書類を準備し、予算増額を社長に訴えた。
無理だな。え、でも社長、LPガスの需要は減り続けてるし、都市ガスの顧客獲得も計画通りに進んでいない。投資するなら営業に回さないと。こんなコスト、セキュリティなんかにかけてられないよ。
でも、都市ガスの顧客獲得にはネットでのキャンペーンが重要ですよね。今回はクレジットカードを扱うキャンペーンなので、そのサイト運営を安全に行うためにもキャンペーンの予算は増額してほしいんです。
それは広告費の枠です。ベッド、サイバーセキュリティへの予算を増額していただけませんか？
サイバーセキュリティが重要なのは分かってる。構築したいセキュリティ体制とインシデント発生にかかる費用対効果をそれぞれ報告してもらえるかな。
スタッフの数が足りてないんです。スタッフをもっと増やさないとセキュリティを確保するための体制は築けません。
予算は限られてるんだ。攻めの事業よりセキュリティのような守りを優先させる具体的な理由を示してもらわないと。思いだけではね。それに、これまで何も起きてないんだ。今の体制でなんとかやってくれよ。
なんで分かってくれないんでしょう？何も起きてないって。起きてからじゃ遅いんだよ。
ガス自由化に伴い、多くの企業が都市ガスに参入し、競争が激化。
[音楽]
[音楽]
大手企業の支援がない独立系のガス会社である7月ガス者はその中で苦戦を強いられているものの、キャッシュバックなどの特典をアピールするキャンペーンの特設サイトで目を引きつつ、顧客を増やしていた。
しかし、ある日、沢が特設サイトのアクセスログとコンテンツを監視していると。
あれ？部長、どうした？ちょっといいですか？アクセスがトップページばかりに集中していて、他のコンテンツには行ってないように見えるんですけど、こことここです。
確かに変だな。[音楽]まさか不正アクセスじゃないですよね。特設サイトを止める。[音楽]はい。不正アクセスの可能性があります。一時的に止めて調査をしないとなりません。
そんなことできないですよ。せっかく認知も上がってきたのに今止めたら売上が下がっちゃうじゃないですか。それを俺一人じゃ決めらんないすよ。ほら、社長決済がいるでしょ。
しかし、本当に不正アクセスなんですか？断定はできませんがおそらく。そんな曖昧な判断で止めらんないよ。なんとかさ、今のまま対策できないの？
ですが、大変なことになるかもしれません。なるかもでしょ。ならないかもしれないじゃない。そこをなんとか頼むよねえ。だからなんとか。分かりました。今のまま行きます。
お願いします。
やむなく村山たちはサイトを稼働させながらモニタリングを続けた。その3日後、
部長、特設サイトが攻撃されたかもしれません。え、偽の会員ログインページに飛ばされます。マジ？あら、本当だ。やばいな。キャンペーンサイト閉鎖するから。[音楽]許可は？許可。それと警察にも。警察？顧客情報が盗まれた可能性があるというのか。
特設サイトが改ざんされ、アクセスした顧客が偽のログインページに飛ばされていました。アカウント情報を盗むのが目的のフィッシング詐欺です。
フィッシング詐欺。社長、特設サイトは閉鎖していいですね。それとすぐ警察に通報した方がいいと思います。
そんな必要ないだろう。うちで解決すれば。でもアカウント情報が盗まれたとなると警察沙汰になればバスコミだろう。どんな悪用が立つか分かったもんじゃね。レピュテーションリスクが心配だよ。うちの特設サイトで不審な挙動が起きることはすでに知られていると思いますので、このまま隠蔽がレピテーションリスクは高いと思います。警察に相談すべきです。君はどう思う？
実際にお客様から問い合わせの電話が入ってますし、大事になる前に。分かった。警察に連絡して特設サイトを閉鎖しよう。[音楽]
[音楽]
会社の公式サイト自体はそのままでいいな。はい。今のところは。[音楽]よろしくお願いします。します。
よいしょ。では村山さん、まずはサーバーを確認させてもらっていいでしょうか？はい。特設サイトの決済システムに不正アクセスした痕跡が見つかりました。クレジットカード入力の画面が改ざんされていたのでお客様の情報が盗まれた可能性が高いです。[音楽]他にもバックドアが仕込まれているかもしれ、さらに大きな被害になる可能性もあります。同じサーバーに特設サイトも公式サイトもあるんですね。もしかしたら公式サイトも何かやられてるかもしれません。[音楽]
[音楽]
え、となると特設サイトだけじゃなくて公式サイトも閉鎖しないといけないな。社長に伝えよう。[音楽]利用者のマイページが使えなくなりますね。そうだな。使用量や料金の確認とか変更の手続きができなくなるのは痛い。重要インフラ事業者への攻撃は社会への影響が計り知れませんからね。会社のサイト全てか。はい。すぐ再開できると思いますが、早急に調べないと被害の実態が掴めません。被害がさらに拡大する可能性も。すぐご決断いただかないと。
不正アクセスの原因は分かった？現時点では分かりませんが、システムの脆弱性を突かれた可能性があります。パッチ修正プログラムやアップデートを豆に行わなければならなかったんですが、忙しくて手が回らなくて申し訳ありません。
何のために予算つけてると思ってんのよ。いや、少ない予算と人数でセキュリティをやらせていた私のせいだよ。申し訳ない。
閉鎖してくれ。ありがとうございます。あと何をすればいいのかね。
この度の事態により、事実関係を再確認し、話す内容なども精査し、翌々日、社長と役員は謝罪会見に臨んだ。その後も個人情報保護委員会への報告、誠にプレスリリース、申訳ござ、顧客からの問い合わせに対する個別対応などに追われた。そして会見からおよそ1ヶ月後、セキュリティベンダーによるフォレンジック調査を経て、7社のウェブサイトにはそれ以上の脅威は発見されず、再開することができた。
特設サイトは新しいものを作り直し、以前のようなキャンペーンを行うことが可能となった。さらに、サイバー攻撃などのリスクを発生した場合の影響度と発生する頻度で評価してコストを算定しました。影響度も頻度も高ければリスクを回避するための最大限のコストをかける。影響度、あるいは頻度が低ければリスクを低減すればよく、コストは低くなる。我が頻度は低いですが、発生した時の影響度は高いと考え、リスクを低減するためのコストを提示させていただきました。
なるほど。今回のことでセキュリティ対策の経費はコストではなく投資だということ、痛感したよ。進めてください。
その後、何かインシデントは起きていませんか？はい、通常運転できています。今後は攻撃を避けるのはもちろんですが、もし攻撃にあっても事業を継続していけるよう、しっかり体制を構築していくつもりです。
社長のそうした意気込みを車内で是非浸透させていただきたいですね。もちろんそのつもりです。
今回は既知の脆弱性をついた攻撃で、修正パッチをしっかり適用できていれば防ぐことができていたかもしれません。すでに修正パッチも出ていましたから。
修正パッチは私の役割でした。申し訳ありません。いや、私が君たちの忠告にもう少し耳を傾けていれば。修正パッチでは対応できない事態も想定しないとなりません。ゼロデイ攻撃というものもありますから。
ゼロデイ攻撃？何ですか？それは攻撃者がソフトウェア開発元より先に脆弱性を見つけて、修正パッチのリリース前に攻撃をしてくることです。開発元が対策できる日数が0日ということから0デイ攻撃と言われています。
対策は具体的にどうしたらいいのでしょう？全ての攻撃を完全に防ぐことは困難ですので、侵入を許しても拡大させない仕組みを作り、被害を最小限にとどめないといけません。そのためにも、基本的なセキュリティ対策をしっかりとることが大変重要なんです。
今回のことを受けてよく分かりました。基本的な対策をしっかりとっていくことに尽きるわけですね。事業計画への対応も検討して、必要なら投資をしていかないといけないな。社長、楽しいですね。
そうですね。ただ、最初に警視庁の皆さん（※原文ママ、おそらく警察のこと）に来ていただいた頃、社長は警察に通報することを恐れていました。事件化されて公表されるのではないかと。
あ、そうでしたか。レピュテーションリスクを気にかけていますから。警察に連絡をするとすぐ公表される、総合をして連絡を躊躇する企業も少なくないんです。
実際、どうなんですか？もちろん、そんなことはありません。サイバー攻撃を受けた企業は被害者ですから、十分配慮します。相談や情報提供はどんどんしていただきたいですね。はい。情報をいただくことで、新たな攻撃手法の発見や攻撃者への抑止力にもなります。社会全体での被害拡大の防止に役立つんです。皆さんとしっかり連携していこうと思います。ありがとうございます。では。