「顧客アプリ」は格好の餌食に 相次ぐ不正アクセス、自社を守る手立ては？： がっかりしないDX 小売業の新時代（5/5 ページ）

企業を狙った不正アクセスなどによる情報漏洩が後を絶たない。攻撃者がAIを使っていた例も明らかになったほか、顧客向けアプリが攻撃の入り口になっていることも分かった。今回は一連の不正アクセス事例を基に、守る側は何から手をつけるべきかを整理する。

[郡司昇，ITmedia]

対策の順番は同じ　「かけてよい時間」が変わる

　本連載59回において、対策の順番は「把握する、決める、減らす、仕組みにする」と述べました。この順番は変わりません。変わるのは、各段階にかけてよい時間です。

【図3】対策の4段階（筆者作成）

把握する：公開している入り口を、攻撃者より先に一覧にする

　IPA（情報処理推進機構）は10月9日、事業者に緊急の点検を求めました。点検の対象は3つです。外部に公開しているアプリケーション、部署単位で契約しているものを含む外部サービス、そして保有データです。販促用に立ち上げ、キャンペーン終了後も残っているサイトも見落とせません。

決める：委託先の入り口も、自社の入り口として扱う

　企業向けにクラウドサービスを提供するIDCフロンティアが受けたサイバー攻撃事例のとおり、自社のシステムが無事でも、委託先の基盤が止まれば業務は止まります。総合スーパーを展開するイズミ（広島市）は10月14日、最大約40万件の会員情報が漏えいした可能性があると公表しました。同社がIDCフロンティアのクラウドを利用していたためです。

　一方、IDCフロンティアは同日の発表で、外部へのデータ流出はなかったと判断しています。調査の結果がどうであれ、委託先の事故が起きた時点で、委託元は顧客への説明を迫られます。

　委託先が運営する会員サイトやメール配信の仕組みも、自社の顧客情報の入り口です。契約の段階で、3つのことを決めておく必要があります。預けるデータの範囲、ログ（操作や通信の記録）の保管期間、事故時の連絡期限です。

減らす：持たなくてよいデータは持たない

　タイムズカーは、運転免許証などの本人確認書類の画像を、会員期間中と退会後7年間保有していました。同社は10月16日、ルールの見直しを発表しています。今後は、会員登録の確認が終わった時点で画像を即時に削除するということです。

　同社の流出では、退会者や入会手続きを終えていない人の情報まで対象になりました。IPAも、保有データを点検し、不要な情報を減らすよう求めています。

仕組みにする：直すまでと、気付くまでの時間を縮める

　AIが既知の脆弱性を自動で探す以上、「次の定期メンテナンスで直す」という猶予はほとんどありません。JPCERT/CCは、アプリと会社側のシステムについて、次の対策を推奨しています。

【表4】JPCERT/CCの推奨と、その意味

　気付くまでの時間も問題です。攻撃が数十分単位で進む以上、異常な大量アクセスが発生したら、すぐに見つける監視が欠かせません。今までのように発覚が数日〜数週間後では、被害が拡大します。

守る側もAIを使うべき

　本連載59回では、未承認の生成AIも攻撃の標的となる入り口の1つに挙げました。しかし、AIを禁止すれば守れるわけではありません。攻撃者がAIで速度を上げた以上、守る側もAIを使った脆弱性診断やログ分析を取り入れる必要があります。

　自社でAIエージェントを業務に組み込むなら、エージェントに与える権限も、人のアカウントと同じく棚卸しの対象です。Unit 42も、AIモデルの接続先、APIキー、AIツールとの連携をすべて一覧にするよう推奨しています。攻撃者が外部のWebページやメールに指示を仕込み、エージェントがそれを読み込んで誤った操作をする恐れもあるからです。

　AI時代のセキュリティで、経営者が答えるべき問いがあります。自社の入り口を、攻撃者より先に知っているかどうかです。DXで顧客接点を増やした会社ほど、入り口の管理までを経営の責任として引き受ける必要があります。

　あなたの会社には、外部に公開しているアプリとサイトの数を、いますぐ答えられる人がいますか。