【サイバー攻撃】ホワイトハッカーにいろいろ聞きました「銀行のセキュリティは大丈夫?」「スマホは乗っ取られる?」今年の情報漏えい“3億件超”に…防衛策は?【news23】（TBS NEWS DIG Powered by JNN）

『ホワイトハッカー』と『ブラックハッカー』って、具体的にどう違うの？

ホワイトハッカーとブラックハッカーの違いは、究極的には「誰の側に立つか」で決まります。 ホワイトハッカーは、企業や政府から正式な許可をもらって、セキュリティの弱点を探す人たち。銀行のシステムにわざと侵入して、穴がないか調べるのがお仕事です。記事の青山桃子さんもそう。見つけた脆弱性は企業に報告して、修正してもらう。社会を守る側ですね。 対してブラックハッカーは、許可なしに他人のシステムに侵入します。個人情報を盗んだり、身代金を要求したり、データを破壊したり。要するに悪意で侵入する人たちです。記事のGMOやANAへの攻撃犯がそれ。 実は技術的には、やってることはほぼ同じ。同じプログラミング知識を使って、同じ穴を見つけてシステムに入る。でも許可の有無と目的が、「守る側」と「攻める側」を分けてるんです。つまり、ハッカーという技能そのものは中立で、それをどう使うかで色が決まる。だから表現としても「ホワイト」「ブラック」なんて言い方がされてるのかもしれません。

クレジットカード情報が流出したって聞くと、自分の番号も危ないってこと？どうやって守ればいいの？

クレジットカード情報が流出するって聞くと、自分のカード番号も狙われる可能性がある。ただ、実際のところ「番号が知られた＝すぐ悪用される」とは限らないんですよね。 カード番号だけでは、オンライン決済には使えない場合が多い。有効期限やセキュリティコード（CVV）も必要だから、漏洩情報の内容次第。グッドスマイルカンパニーの場合、記事にセキュリティコードも含まれていると書かれているので、その分リスクは高まります。 防御策としては、まず銀行口座とカード会社の利用明細をこまめに確認することが現実的。不正利用されても、気づくのが早ければ返金されることがほとんどです。次に、複数のカードを使い分ける。全てのカードを一つのサイトで登録しない。そして何より、フィッシングメールに返信しない、添付ファイルを開かない。自分が流出した側でなくても、詐欺師は漏れたメールアドレスを使ってメール攻撃を仕掛けてくるので。 完全には防げないけれど、小まめな確認と警戒が被害を最小限に抑える鍵になるのかもしれません。

去年1年分の約10倍に急増したって書いてあるけど、なぜここ最近、こんなに狙われやすくなったの？

攻撃側の「成功体験」が加速してるんでしょう。ここ1～2年で、大手企業への攻撃が次々と報道されるようになった。それを見たハッカーたちは「日本企業は金を払う」「データが売れる」と気づいた。実際、身代金を請求する「ランサムウェア」の手口が流行し始めたのは最近。昔は大企業しかターゲットにならなかったのに、今は中堅企業や商社まで狙われてる。 もう一つは、サプライチェーンの隙。JALの次にANAが狙われたのは、予約システムのような「複数の大手が依存する仲介者」を狙う戦略に変わったから。攻撃側は、小さな発注企業を落としてから、大手に侵入する。1箇所壊せば、芋づる式に被害が広がる。守る側が追いつかない速度で、狙う側が進化してるということなのかもしれません。

JALとANAが同じシステムを使ってて一緒に被害を受けるってことは、『大手企業ほど共有インフラで一斉にやられるリスク』ってこと？

まさにそこが現代のサイバーリスク特有の怖さなんですよね。JALとANAが同じシステムを通じて被害を受けたというのは、単なる「一斉被害」ではなく、攻撃者にとって効率がいい状態を示しています。 大手企業は一見強固に見えますが、実は基幹システムの多くを外部ベンダーに委託しています。セキュリティ対策を厳重にしている自社システムより、委託先のプラットフォームのほうが穴になることがある。攻撃者からすれば、「ここを破ればJAL、ANA両方から個人情報が取れる」という戦略的な狙いが成立するわけです。 大手ほど効率良く大量の個人情報が手に入るので、攻撃者にとって投資対効果が高い。結果として、一つのシステムの脆弱性が、複数の大企業を同時に傷つけてしまう仕組みになってしまっているようです。これは逆説的ですが、「規模が大きいほど、実は外部インフラへの依存という共通の弱点を持つ」ということなのかもしれません。

懸賞金をかけて情報募集してるってことは、逆に犯人は『内部の人』の可能性もあるってことかな？

懸賞金をかけた時点で「外部からの侵入」という前提がある程度確定してるんだと思います。内部犯行なら、むしろ内部調査を重視するはずで、わざわざ外部に情報提供を呼びかけることはない。 ここで募ってる情報というのは、おそらく「犯人がどうやって侵入したのか」「どこから指示を受けてるのか」といった、外からは見えない細部。たとえば、どのベンダー経由で侵入口を見つけたのか、どの従業員と接触していたのか、といった接点の情報です。内部犯行を疑う段階ではなく、犯人をどう追い詰めるかという段階に入ってるのかもしれません。 ただ、サイバー犯罪の現実を考えると、外部犯であっても内部協力者がいるケースは少なくない。懸賞金で募った情報のなかに「実は従業員が攻撃グループと連絡を取ってた」という証言が隠れてる可能性もありえそうです。