わずか45秒で巨大電力会社の中枢が乗っ取られる…｢セキュリティがガバガバ｣すぎる日本企業の根本問題

不正アクセスの被害に遭う企業が相次いでいる。軍事アナリストの小川和久さんは「大手企業であっても、形だけの対策でお茶を濁しており、高いセキュリティ意識を持っている社員が少ないことが問題だ」という――。
※本稿は、小川和久『総理、国防も安全も穴だらけ！ 国民を守れない国・ニッポン』（扶桑社）の一部を再編集したものです。
■重要なのはネットワーク・セキュリティ
政府の関係省庁やマスコミを含めて、日本人が気づいていない盲点に「ネットワーク・セキュリティ」と「サイバー・セキュリティ」の区別がついていない問題がある。両者の関係性すら理解されていない結果、日本の政府や企業の対策は空振りに終わることが少なくない。
私は、ネットワーク・セキュリティ全体を考えることを最優先すべきであり、重要ではあってもサイバー・セキュリティはその一部だと、あえて強調してきた。サイバー空間を安全に保つには、それを取り巻くネットワーク全体の安全を図る必要があるからだ。
ネットワーク全体を守るために全力を挙げているアメリカ軍の例は象徴的だ。
アメリカ軍は21世紀に入ってから、「ネットワーク中心の戦い」（NCW＝Network-Centric Warfare）という概念に基づいて、戦争の在り方を一新しつつある。
NCWの基本的な考え方は、静止軌道上の早期警戒衛星、低軌道の偵察衛星、空中の早期警戒管制機（AWACS）、海上のイージス艦、陸上の戦闘ヘリコプターや歩兵などをネットワークで結び、コンピュータの強力な情報処理能力を活用して必要な情報を目的に応じて戦力化することだ。
そこでは、サイバー面であろうと物理面であろうと、ネットワークを完全に守ることが最優先事項となる。どれか一方を守れば十分という訳ではない。
■敵は「人間の隙」を突いて侵入してくる
考えればわかることだが、ネットワークを攻撃する側は、インターネットからだけ侵入するわけではない。目的を達するためにあらゆる手段を用いて侵入を試み、騙しの手口を駆使したり、組織内に協力者を作って管理者パスワードを盗んだり、鍵をこじ開けてコンピュータ・ルームに侵入したり、施設を爆破して大混乱を引き起こしたりすることも辞さないのだ。
ここで重要になってくるのは、情報通信技術を使用せず、サイバー面と物理面の両方から、ネットワークに侵入する詐術的な手法「ソーシャル・エンジニアリング」を見破り、引っかからない対策である。
ソーシャル・エンジニアリングの多くは人間の心理や行動の隙を突くものであり、かつては「振り込め詐欺」と呼ばれたような手口や、なりすましなどが知られている。
■首からぶら下げたIDカードは格好の標的
セキュリティ対策が徹底しているかに見えるアメリカ軍基地が、なりすましの手口を使ったチェックに対して無防備だった実例を紹介しておこう。いずれも米海軍特殊部隊SEALsの対テロ部隊チーム6（現DEVGRU、デブグルー、特殊戦開発群）が実施したものだ。
チーム6は1985年6月、コネチカット州ニューロンドンの弾道ミサイル原潜基地に侵入、弾道ミサイル原潜の発令所、原子炉区画、魚雷室に模擬爆薬を仕掛けた。さらに同年9月には、カリフォルニア州ポイント・マグー海軍航空基地にレーガン大統領が大統領専用機エアフォースワンでやってきたとき、模擬爆薬を積んだ兵器運搬車を大統領専用機の近くに移動し、エアフォースワンを爆破した。
どちらも海軍の軍人やジェネラルダイナミクスの社員が集まる酒場に行き、身分証明書、車両認識票などを抜き取リ、本人になりすました侵入作戦だった。
ネットワーク・セキュリティについても、同じ手口に備える必要があることは明らかだろう。IDカードを首から下げて、食事に行ったり電車に乗ったりしている人を見かけるが、これはなりすましの材料を提供しているのに等しい。ICタグの情報は、数メートル離れた場所からでも読み取られてしまうことを自覚しなければならない。
■天才ハッカーと日本人研究者の戦い
ソーシャル・エンジニアリングを語るとき、忘れてはならない伝説のハッカーがいる。ケビン・ミトニック。1995年2月15日、カリフォルニア大学サンディエゴ校のスーパーコンピュータセンターに侵入し、データの改ざんなどを行って逮捕された。
ミトニックを追い詰めたセンターの研究者・下村努氏は、2008年にノーベル化学賞を受賞した下村脩博士の息子だ。その逮捕劇は映画『ザ・ハッカー』（邦題）にも描かれている。
アメリカのハッカー出身者たちの評価は「ミトニックはソーシャル・エンジニアリングに優れている」という点で一致している。システムの隙間から技術的に侵入するのとは異なり、特殊詐欺のように巧妙な騙しのテクニックを駆使して管理者パスワードを盗み、そこから侵入していくのである。ミトニックは2023年に59歳で亡くなるまで、自分の特技を逆手に取ってセキュリティ会社を経営していた。
日本では、そうしたソーシャル・エンジニアリングへの対策が後手に回っており、技術レベルも高いとは言えない。この現状に対する自覚が生まれない限り、政府が鳴り物入りで進める能動的サイバー防御も絵に描いた餅に過ぎない。ミトニックくらいの詐術ハッカーを雇うくらいの取り組みを進めなければ、安全と繁栄を実現できる国に生まれ変わることは困難だろう。
■形だけの「セキュリティ対策」は弱い
ソーシャル・エンジニアリングについて、ウィキペディアの英語版と日本語版の解説を読み比べると、日本の認識の遅れがわかるだろう。日本語版の記述はわずか約1500文字に過ぎないが、英語版の記述をGoogle翻訳で日本語に訳すと約1万9000字にも及ぶ。日本人の持つ知識が話にならないレベルであることを実感できるはずだ。
ここで、日本を代表する企業の実例を紹介しておきたい。個別企業の問題を具体的に述べることはできないが、A社、B社……Z社と私が担当したケースについて抽出し、架空のX社とZ社のケースとして説明する。
巨大電力会社X社の中央コンピュータセンターは、私のチーム（アメリカのハッカー出身の専門家）によって、わずか45秒で乗っ取られてしまった。原因は、コンピュータセンター側が形だけの「セキュリティ対策」でお茶を濁していたからである。
X社の問題は、私のチームにチェックを依頼するかどうかを役員会に諮(はか)った際に露呈した。コンピュータセンター側は「日本のセキュリティ会社に侵入テストを依頼した結果、問題ないと確認したので、さらなるチェックは不要」と拒んだのだ。役員会の大勢もその主張に同意する流れとなった。
流れを変えたのは、実力者の会長の一言だった。
「小川さんのチームに頼んで、それで大丈夫だということになれば、万全だ。穴が見つかれば、それも喜ばしいことで、問題を解決すればセキュリティのレベルは上がる。やってもらおう」
■乗っ取りに要した時間はわずか45秒
このような経緯を経て、私のチームはチェックを行うことになったが、驚かされたのはコンピュータセンター側の態度だった。まるで手のひらを返すように、「侵入するポートを教えてほしい」と泣きついてきたのである。「それでは侵入テストにならないではないか」と言うと、「日本の業者とは、いつもそれでやってきた」と言う。
これは八百長のようなものだが、こちらも仕事を進めなければならない。仕方なく、侵入するポートを4カ所教え、テストの期間は△△万回線（数字は特に秘す）のすべてについてネットへの接続をさせない、つまりスタンド・アローンの状態にするよう約束してもらった。
しかし、この約束も口先だけのものだった。複数（3桁）のコンピュータがネットに接続された状態で、私のチームはリモートアクセスで容易に侵入することができた。もちろん、コンピュータセンターでのオンサイトテストでは、あっという間に見知らぬアプリケーションが次々に立ち上がり、乗っ取られた状態になってしまった。それに要した時間はわずか45秒。
このときのアメリカの専門家は数年後、「最近の水準では、15秒で乗っ取られると思わなければならない」と警告した。
■IT企業のサーバーの中身が「丸見え」
次に紹介するのはZ社のケースだ。売上高が年に数兆円のZ社は、都内に巨大なコンピュータセンターを単独ビルとして所有している。そのセキュリティ対策を実施したいと依頼があり、私はアメリカから専門家を連れてきて、作業に取り掛かった。サイバー面ではトップクラスのハッキング能力を持ち、セキュリティの物理的な面でも特殊部隊のような能力を有するチームだった。
まず最初、ハッカーのようにインターネットを通じてZ社のシステムへの侵入を試みた。これは実に簡単だった。Z社はハイレベルの製品を世に送り出しているIT企業だが、そのサイバー面を少し突っついてみたところ、容易に内部に入り込むことができ、サーバーの中身を隅々まで見ることができたのだ。
このとき、アメリカの専門家は、「この会社の製品は危険だ」と言った。理由を聞くと、「Z社はITの最先端の製品を開発・製造・販売しているのに、自社のシステムにパッチも当てていない」という。
■物理的にもカンタンに社内へ侵入できる
コンピュータセンター全体のセキュリティ・チェックでも驚くべき結果が出た。
外部からセンターの様子を観察すると、夕方から朝までビルの正面玄関が閉じられ、裏口（夜間通用口）が使用されるのだが、ガードマン詰め所が無人になるという隙があった。ガードマンが1人体制なので、トイレに行くときと喫煙に行くときに無人になってしまうのだ。さらに、詰め所の前を身をかがめて移動すれば、気づかれずにセンター内に入れることも判明した。
続いて、昼間の状況を観察した。当時、Z社のセンターには、大都市の駅の改札のようなIC入構証をかざすゲートはなかった。正面玄関を入るとロビーと受付があり、ガードマンが立ち、受付嬢が座っている。そして、ある受付嬢とあるガードマンという特定の組み合わせになったとき、隙が生じることがわかった。お互いに気があるらしく、相手の様子をしきりにうかがうので、部外者が堂々と入っていくと、その態度に安心するのか、どちらもチェックしないのだ。
また、受付を通った先にある要人用エレベータの場合は、黒塗りのハイヤーで乗りつけた白人（私のチーム）が、スーツ姿にアタッシュケースを提げ、堂々と「hi!」「hello!」などとにこやかに挨拶すれば、そのまま受付を通過してエレベータに乗ることができた。
■20～30年間、同じ鍵を使い続ける危険性
次のような実験もやってみた。受付内側のデスクに引き出しがあり、そこに入構証が保管されている。それを夜、受付嬢が帰った後で一つかみ持ち出したのだが、1週間たっても紛失届けは出されなかった。紛失が明らかになるまで、侵入者は盗んだ入構証をつけてセンター内を自由に歩き回ることができたのだ。
そのような杜撰(ずさん)なセンターを象徴するように、外付けの非常階段の鍵はすべて外側からのピッキングで開いた。錠前は年に1度は最新型に変えるべきだが、20～30年ほど前の鍵がそのまま使われていた。
アメリカの専門家は「テロリストや犯罪者に対して最も警戒が必要な錠前は、現時点では日本の美和ロックのこのタイプがベストだ。来年はまた違うかもしれない」と言っていたが、センター側にはそのような知識すらなかった。
■組織全体のセキュリティを考える人がいない
Z社のコンピュータセンターの課題の第1は、縦割りの問題だった。
非常口の錠前は守衛室か総務部かの担当だが、担当者は「泥棒が入ってこなければよい」としか考えていない。一方、コンピュータ関係の部署にいるのはネットやコンピュータのセキュリティを担当する社員だが、こちらはコンピュータ画面にだけ気をとられ、非常口の錠前のことなど考えたこともない。要するに、組織全体のセキュリティを考える部署も担当者も存在していなかったのだ。
第2の課題は、どの組織にも共通することだが、部署ごとの隠蔽体質だ。
センターの責任者は、自分がきちんと仕事をしていることを示すために、セキュリティ・チェックそのものに反対し、私たちがチェックしようとすると、「日本の有名な会社に依頼して、既にサイバー面の侵入テストを実施し、合格しているから調査の必要はない」と、抵抗する。巨大電力会社X社のケースとまったく同じだった。
そして、チェックによって穴だらけだと判明すると、今度は「すぐに改善するので、上層部には問題がなかったことにしてほしい」と、問題があったことを隠蔽しようとするのだ。
Z社で誉められ、評価されてよいのは、私にコンサルを依頼した本社の担当部長だけだった。いかに高い意識の持ち主が少ないかという現実は、巨大企業のセキュリティを考えるうえで教訓とされなければならない。

----------

小川 和久（おがわ・かずひさ）

軍事アナリスト

陸上自衛隊生徒教育隊・航空学校修了。同志社大学神学部中退。地方新聞記者、週刊誌記者などを経て、日本初の軍事アナリストとして独立。外交・安全保障・危機管理（防災、テロ対策、重要インフラ防護など）の分野で政府の政策立案に関わり、2012年4月から、静岡県立大学特任教授として静岡県の危機管理体制の改善に取り組んでいる。主な著書に『日本人が知らない台湾有事』（文藝春秋）『メディアが報じない戦争のリアル』（SBクリエイティブ）など。

----------

（軍事アナリスト 小川 和久）