国家サイバー統括室、相次ぐ情報漏えいで事業者に注意喚起
国家サイバー統括室が個人情報漏えいの相次ぐ事態を受け注意喚起を公表。基本的な対策の不備やAI悪用の可能性を指摘し、3分野の対策を示した。
内閣官房の国家サイバー統括室は11月5日、国内で相次ぐ個人情報の漏えいを受け、Webサイトやモバイルアプリを運営する事業者向けに注意喚起を公表した。最近の事案で「基本的な対策が十分でなかったことが原因とみられる事例を複数確認した」として、対策の徹底を求めている。
統括室は、攻撃者がネット上のWebサイトを大規模に調査し、侵入可能なシステムを探して個人情報を盗んだとみている。標的の調査や侵入にはAIが使われている可能性が高いという。従来の脆弱性診断で低リスクとされた複数の問題を組み合わせて侵入されるケースや、攻撃の大規模化で幅広い事業者が狙われるケースもある。事業者側にも、アプリ開発時の対策不足、設定不備、サポート終了ソフトや既知の脆弱性を放置した継続利用といった例があった。
3分野の対策
1つ目は運用・管理。使用ソフトの構成と脆弱性を把握し、対処の優先順位と期限を決める。推測されやすいパスワードや総当たり攻撃で管理画面が破られた例を挙げ、不要な管理画面や機能を公開しないよう求めた。AIなどを使った継続的な脆弱性診断や、ログ分析による監視も促している。
2つ目は設計・開発。開発当初から安全性を考慮する「セキュリティ・バイ・デザイン」を呼び掛けた。公開アプリの解析でAPI経由の不正な情報取得が確認されており、アクセス制限と認証情報の適切な管理が必要とした。個人情報を扱うシステムは公開前の脆弱性診断も推奨する。
3つ目は委託先などサプライチェーン対策。委託先や保守事業者の環境を足掛かりに発注元へ侵入される例があるため、VPNやリモートデスクトップなどの接続経路を洗い出し、多要素認証を導入するよう求めた。OSSや外部ライブラリでも、深刻な脆弱性の公表時の初動手順を決めておくべきだとしている。
統括室は10月9日にも、修正パッチの速やかな適用や多要素認証の導入など組織全体の基本対策を求める注意喚起を出しており、今回はWebサイトやアプリの運用・開発にまで範囲を広げた。
注目のアプリ
SUMO：数字パズル正しいマスを選んで足し算、目標の数に。覚えるのは簡単、極めるのは難しい。無料、全年齢向け。
Dialo：話して学ぶ語学アプリAIの会話パートナーと話すだけ。一文ごとに添削され、あなたの言語で解説が返ってきます。9言語、A1からC2まで。
ediviewer：EDIファイルを文書のように読むEDIFACTやX12メッセージを開き、各セグメントの意味を表示。JSON/XML変換、PDF・Excel出力。ローカルで動作、アップロード不要。
giftdetect：数分でぴったりの贈り物相手、シーン、性格を選ぶだけ。検索エンジンが地元ショップの商品説明を読み、合うものを並べます。無料、登録不要。
