26.10.29

相次ぐ情報流出、能動的サイバー防御でどうにかなるの？

ネットニュースの内側にいるプロフェッショナルがニュースを読み解きます。
コメンテーターは情報社会学がご専門の、学習院大学・非常勤講師 塚越健司さんです。
塚越さんに取り上げていただく話題はこちら

「相次ぐ情報流出、能動的サイバー防御でどうにかなるの？」

吉田：連日、サイバー攻撃による企業の情報流出が報じられています。そこで注目されているのが、法整備が進む「能動的サイバー防御」です。

ユージ：塚越さん、企業の情報流出が止まりませんね。

塚越さん：昨日もお話ししましたけども、いろいろ深刻ですよね。様々なところで情報流出が問題になっています。例えば、今回のGMO(GMOインターネットグループ)では、FXの自動売買などに使うクラウドサービスが不正アクセスを受けまして、顧客の取引口座に身に覚えのない取引が報告されています。攻撃者からはおよそ80億円を要求されていて、顧客情報とされるものが公開されました。内容については現在も確認中です。GMOとしては身代金を支払わない方針を示していて、利用者全員に一律5,000円の見舞金と、情報が公開された利用者に対しては、情報の種類に応じて1万円〜上限300万円の特別見舞金を支払うとしています。また犯人逮捕などにつながる情報に、総額およそ1億5,000万円の懸賞金をかけることも発表しています。

ユージ：そんな中、GMOが政府関係機関に緊急要請したのが、「能動的サイバー防御」ですね。

塚越さん：火曜に神庭さんもお話しされていましたが、「能動的サイバー防御」という言葉、あまり聞き馴染みがないですよね。

ユージ：初めて聞きました。

塚越さん：これは何かというとですね、企業が攻撃を受けてから対応するだけではなく、むしろ政府が積極的に動いて重大な被害を未然に防ごうという仕組みです。2025年の5月に法律が成立し、今月1日から一部が施行されています。能動的サイバー防御には、大きく3つの柱があります。1つ目は、電力や金融、通信など重要な「インフラ事業者」と政府が、サイバー攻撃に関する情報を共有すること。2つ目は、政府が通信情報を分析して、攻撃に使われるサーバーなどを見つけること。3つ目は、重大な攻撃については警察や必要に応じて自衛隊が、攻撃に使われるサーバーにアクセスして、不正なプログラムを消去するなどして攻撃を止めることです。ただし、2つ目の通信情報を利用する新制度はまだ始まっておらず、2027年秋からの予定です。また、能動的サイバー防御はGMOのように、民間企業が要請すれば必ず発動する制度ではありません。あくまで政府が、法律上の条件を満たしているかどうかを判断します。

吉田：法的整備も進んでいますが、能動的サイバー防御の運用は、迅速に進むのでしょうか？

塚越さん：できることは増えましたが、実際に運用するのは簡単ではありません。まず攻撃者が使っているのは、別の人から乗っ取ったサーバーやパソコンという場合もあります。つまり攻撃を止めようとして、無関係な人の機器やサービスまで壊してしまう可能性もあります。そのため、運用にはプライバシーや権利保護のために、第三者機関の「サイバー通信情報監理委員会」による事前の承認が、原則として必要になります。さらに、攻撃に使われるサーバーが海外にある場合には、国際法との兼ね合いもあるので、外務大臣との事前協議も必要になります。したがって、実際にやろうとすると課題は多いですね。一方で、アメリカでは実績もあります。FBIは2024年に裁判所の許可を得て、中国政府の支援を受けたとされるハッカー集団が乗っ取った20万台以上の機器のネットワークに対して、不正プログラムを無効化する命令を送るなどしたということです。このように技術的には実現可能ですが、法律上の手続きや、攻撃元の正確な特定が欠かせないわけです。

ユージ：塚越さん、日本の能動的サイバー防御で、サイバー攻撃は防げるのでしょうか？

塚越さん：一定の効果は期待できますが、すべての攻撃を防ぐことはなかなか難しいことですね。特に今回のGMOのように、すでに外部へ持ち出された情報は、攻撃に使われるサーバーを止めても取り戻せません。また、制度の中心は国や重要インフラなどに対する重大な攻撃への対応なので、どんな民間企業の被害にも国が介入できるわけではありません。そのため今回のGMOのケースだとちょっと難しいというところもあります。あとは、攻撃元を見つける技術や人材も必要で、海外との連携など、なかなか厳しいところもあります。攻撃者は海外のサーバーを転々と乗り換える可能性があるので、発信元を突き止めるのが難しく、また国家の関与が疑われる場合でも、相手国が認めないケースもあります。ただし、政府も来週中に緊急対策パッケージを取りまとめて、被害企業へのサポートだけでなく、能動的サイバー防御を機能させていく方針です。今後どこまでのことができるか注目です。ただし、政府に何でもかんでも頼るのは難しい部分もありますので、後押しを受けつつ企業を含めた社会全体の防御力を高めていくことが喫緊の課題だと思いますね。