相次ぐ情報流出、真の問題は「Winny」だけではない（1/2 ページ）

海上自衛隊の機密情報流出をきっかけに、「Antinny」など暴露型ウイルスによる情報流出が相次いで報じられた。しかし、いたずらにWinnyのみを問題視するだけでは根本的な対策にはならない。

[高橋睦美，ITmedia]

　2月に明るみになった海上自衛隊の機密情報流出をきっかけに、P2P型ファイル共有ソフト「Winny」を経由して感染を広めるウイルス「Antinny」をはじめ、暴露型ウイルスによる情報流出が問題視されている。

　Antinnyウイルスが世の中に登場したのは2003年のこと。その後幾つかの亜種が登場し、2004年3月には、Antinny.Gへの感染により京都府警の捜査情報がWinnyネットワーク上に流出するという事件が発生していた。また、2005年夏には、重要インフラである原子力発電所関連の情報が相次いでWinnyネットワーク上に流出するという事件が起こったことも記憶に新しい。

　つまり、Antinnyウイルス自体も、それが引き起こす情報流出も、決して新しい事件ではない。たまたま、自衛隊という組織の機密情報が流出したために大きく警鐘が鳴らされているが、実際には数年前から、さまざまな個人情報や機密情報がWinny上を流れていると考えるべきだろう。

　Winnyネットワークの監視を行っているネットエージェントの代表取締役社長、杉浦隆幸氏によると、今では「Winnyネットワークの成分の1％以上がウイルス」という。その上、過去数年にわたって流出事件が報じられているにもかかわらず、なぜ人はAntinnyに感染してしまうのか。

　理由は簡単だ。ユーザーがウイルスファイル本体を開いてしまうからだ。たとえウイルス対策ソフトが警告を出そうと、ユーザーがそれを無視すれば意味はない。しかもAntinnyおよび暴露ウイルスの多くは、ソーシャルエンジニアリング的な手法を用い、人間の心理やあからさまな欲望を突くようなファイル名が付いていることが多い。

　ひとたびAntinnyに感染すると、PC内のさまざまなファイルや送受信メールなどがWinnyの公開フォルダにアップロードされる。いったん公開されたデータを回収するのは困難だ。流出が話題になればなるほどそのデータを検索するユーザーが増え、ますます収束から程遠い状態になってしまう。

目先の現象だけにとらわれるべきではない

　事態が深刻化していることを踏まえ、セキュリティベンダーのほか、情報処理推進機構（IPA）やTelecom-ISACなど幾つかの組織がAntinnyおよび情報暴露型のウイルスに対し注意を呼びかけた。さらに3月15日には、安倍晋三内閣官房長官が国民に向け、「Winnyを使わないで」と呼びかけるまでにいたっている（関連記事）。

　当面のリスクを抑えるという意味合いならば、Winnyの利用禁止は一定の効果があるだろう。しかし複数のセキュリティ専門家は、ただWinnyという現象だけに注目していては、情報流出に対する根本的な対策にならないと指摘する。

　そもそも、Winnyの利用だけを禁止しても、「ファイル共有ソフトはWinnyだけではない」（インターネット セキュリティ システムズのCTO、高橋正和氏）。ラックのセキュリティプランニングサービス部担当部長、新井悠氏も「ファイル交換ソフトはほかにもたくさんある」とし、たとえWinnyを禁止したとしても、今度は別のツールが利用されるだけだろうと述べた。

　また、インターネットのアップローダやメールを利用して感染し、Winnyに頼らず情報を公開してしまうウイルスも複数報告されている。

　新井氏は、Antinnyの特質について「Webからダウンロードしてくる悪意あるファイルと根本的には変わらない」という。ただ、Winnyにいったん流出したファイルは回収が非常に困難という特徴がある。したがって、もともと素地があったところに「Winnyのインフラが悪用されたということではないか」と指摘した。

　一連の流出事件を受け、Winnyの利用禁止や私用PCの持ち込み禁止といった手立てが取り沙汰されている。それも悪いことではないが、「まるで、『ここの交差点で事故が起こりましたから、ここでは気をつけましょう』と言っているようなもの。環境の変化に対する分析を加えることなく対策しているように見える。ヒステリックな対策に終始しており、継続的なステップが考えられていない」（高橋氏）

　高橋氏はさらに、一連の対応について「今、目の前で起こっている重大な事故だけを防ごうとしているように見える。しかし『ハインリヒの法則』のように、その背後にはいくつもの小さな事故が起こっているのではないか。事件の背後にフォーカスを当てないと根本的な対策は打てない」と述べた。

情報の「持ち出し方」に問題

　では、背後にある根本的な問題とは何か。

　1つには、インターネットを利用する以上、ウイルス（マルウェア）というリスクを抱えているのだということに対する認識不足が挙げられるだろう。インターネットやWinny上にあるファイルは、必ずしも自分が望むものばかりではなく、害を及ぼすものも多い。目の前にあるファイルを開くかどうか、最終的に「中身を判断するのはユーザー」（新井氏）だが、Winnyに限らず出所の不確かなファイルを安易に開くことの危険性は常に頭に入れておくべきだ。

　そしてもう1つ、企業や組織の情報管理体制のずさんさも挙げられるだろう。