犯人が捕まらず、被害の上限もない
最近、セキュリティ系の話題がすごく多いんです。『GMO』さんの件もありましたし、大変だなと思って見ています。
セキュリティのつらいところは、まず犯人がなかなか捕まらないことです。強盗や、予告して宝石を盗み出す怪盗なら、警察が対応できるところが多いんですけど、インターネット上のセキュリティを破られて盗まれるケースは、なかなか捕まらないんですよね。
『コインチェック』事件では580億円分ぐらいが盗まれました。よく考えたら、3億円事件であれだけ大騒ぎしたのに、580億円盗まれてもそこまで大きな話になっていない感覚が僕にはあります。
これは、よくわからないからなんだと思うんです。銀行に強盗団が入って580億円の現金を盗んだら大事件ですけど、インターネット上だと静かに進んでしまうんじゃないかなと思っています。
しかも被害が甚大になりがちです。銀行強盗なら、銀行に1億円しかなければ被害は1億円が上限です。
でも今は、顧客の情報を盾に100億円を要求したり、場合によっては暗号資産で100億円抜かれたりすることが結構起きてしまう。北朝鮮のような外国勢力が外貨稼ぎにやっているという噂もありますが、その場合も捕まえようがないのがつらいところだなと思っています。
AIで、破られやすい時代になっていく
GMOの件は置いておいて、一般論として、AIによってセキュリティを破りやすくなっているのではないか、という言説があります。これはあり得るだろうなと思っています。
脆弱性を見つける効率がどんどん上がっていくのは当然なので、セキュリティが弱いところから狙われていくことは、今後もどんどん起こるんじゃないかと思います。
実際、セキュリティ会社ほど戦々恐々としているんです。AIによって想定を超えることをやられたら自社のソフトが破られるかもしれない、と考えているので、いまが稼ぎどきというモードではないんじゃないかなと思っています。
退会しても情報は消えない
なので、企業も自衛を頑張るしかないし、ユーザーも自衛を頑張るしかないんです。
使っていないサービスを退会した、という人もいて、それは1つのセキュリティとしてはありです。ただ、退会しても自分の情報が消えているわけではないので、漏れるときは普通に漏れる、という点は注意かなと思いました。
とはいえ、ログインされて変なことをされる心配はなくなるので、退会がダメというわけではありません。むしろ使っていないものは退会した方がいいんです。
メールも、読まれたらやばいものは削除しておくのが1つの手です。Googleが破られてGmailの中身が全部漏れる可能性もゼロではないので安心はできませんが、自分のGmailアカウントが破られてメールを全部引っこ抜かれることは全然あると思うので、やってもいいんじゃないかなと思っています。
僕が考える基本の自衛
もうやっている人はいないと思うんですけど、パスワードの使い回しは超絶危険です。どこかしらで漏れていたりしますし、サービスによっては暗号化せずに平文のまま保存していることもあります。
ログインさせて、そのIDとパスワードを保存して他のサイトで試す、という悪いサイトもあります。それは裏側なのでわからないじゃないですか。だから使い回しは絶対にやめておいた方がいい、というのが基本かなと思っています。
僕が考える自衛は、こんな感じです。
- パスワードの使い回しをなくす
- 2段階認証があるところは全部入れる
- パスキーがあるところはパスキーにする
- メールやLINEでやばいやりとりをしない
- やばいやりとりはSignalなどで、1日で消える設定にする
信頼できるところだから大丈夫だろう、というのはあまりなくて、どの企業がどう狙われてもわからないという感じなんです。
アナログには戻らないけれど、備えはしておく
サイバー攻撃でいろんなサービスが止まると、世の中がアナログに戻るのでは、と思う人もいるかもしれません。でも、いまアナログの世界になっているかというとなっていないので、そうはならないと思います。
ただ、被害はまだまだ広がるんじゃないかなと思っています。証券会社のアカウントや銀行が被害にあって、1週間出金停止になる大事件が起きても、個人的には不思議ではないです。
周りでは、一応現金を下ろしておこうという人もいました。僕は、起こってもいないことで取り付け騒ぎのような大変なことを起こしてはいけないと思うので、あまりそういうことは言いたくないんですが、、
対策しておくのはいいと思います。たとえば大事な人の電話番号を紙に書いておく、とかですね。例が思い浮かばなくてこんなものしかないんですけど、スマホのアップデートに失敗して連絡帳が開けなくなったり、何らかの攻撃で2日使えなくなったりしたときに、意外と困るので。
アナログの世界に戻るところまで不安がらなくてもいいかなと思います。でも、ここから先はいろんな混乱がめちゃくちゃあると思うので、皆さんも気をつけてください。
まとめ
ネット上の犯罪は捕まりにくく被害も大きくなりやすいうえ、AIで破られやすくなっていくと僕は考えています。だからこそ、企業もユーザーも自衛するしかないんです。
- ネットの犯罪は捕まりにくく、銀行強盗と違って被害額に上限がない
- AIで脆弱性探しが効率化し、弱いところから狙われていく
- 退会しても情報は消えないが、使っていないサービスの退会は有効
- パスワードの使い回しをやめ、2段階認証やパスキーを入れるのが基本
