宿泊施設関連協会
サイバー攻撃による情報漏洩事件が急増している。背景には、生成AIの悪用による攻撃の効率性の高まりと攻撃対象の拡大がある。これまでセキュリティ投資が限定的でも被害を免れていた企業のサイバーリスクは、格段に高まっている。
この現状を背景に、一般社団法人宿泊施設関連協会（JARC）は10月28日、緊急無料オンラインセミナーとして、特別版JARCゼミナール「AI時代に求められるセキュリティガバナンス」を実施した。講師は、NTTドコモビジネス PS本部 M&S部 セキュリティサービス部門の英敏秀氏が務めた。
講師は脆弱性への対応について「48時間が山です。その時間の中で解消までやってしまわないと、狙われた時には必ずやられてしまいます」と述べた。
ゼミナールは観光・宿泊産業マーケティングセミナーの特別版で、開催時間は16時から17時。参加費は無料で、オンラインの定員は100名だった。
ランサムウェアから個人情報の窃取へ、攻撃の主流が変化
講師は、10月21日時点で調べた最近の情報セキュリティインシデントを紹介した。
従来はランサムウェアが代表的だった。システムやファイルを暗号化し、復旧と引き換えに金銭を要求する手口だ。昨年の事例としてアサヒ、アスクルが挙げられ、今夏には日礼も攻撃を受けて話題になったと説明した。
一方、直近の事例では手口の種別にランサムウェアの表記がほとんどなく、Webサイトに侵入して登録された個人情報を抜き出す手口が主流になっているという。
攻撃者の動機は、ほとんどの場合が金銭だ。クレジットカード情報の不正利用や、個人情報を悪用した別の詐欺への転用が可能とされる。
旅行予約サイト系の事例については、手口はまだ明らかになっていないとした。そのうえで、宿泊者情報の流出後に起こり得る二次被害として、次の流れを説明した。
- 盗んだ個人情報のリストがダークサイトで売られる
- 購入者が宿泊予定者に「予約がまだ整理されていない。入金してほしい」などと連絡する
- 入金やクレジットカード情報の入力をさせ、不正に利用する
講師は、漏れた情報を使った詐欺が特に宿泊・旅行業界で起こるのではないかとの見方を示した。
生成AIが脆弱性の発見と侵入手順の提案まで担う
講師は、4月から5月に報じられた生成AI「Claude Mitos」に言及した。システムの脆弱性（セキュリティホール）を見つけるのが非常に得意で、侵入手順の提案まで行えるという。
そのため、これまで腕のあるハッカーにしかできなかった高度なサイバー攻撃を、技量の劣る攻撃者でもAIの力を借りて実行できる状況になっている。
Webサイトの裏側にはソースコードがあり、その中にセキュリティホールが存在する。人間には読み取りにくかったが、AIは即座に見つけるという。講師は、サイバー攻撃が急に増え、しかも短時間で情報を持ち出されていると述べた。
メーカー側もAIを活用している。講師によると、Microsoftが自社製品をAIに調べさせたところ、9月には全部で1000件近い脆弱性が見つかった。うち悪用度が高いクリティカルは110件だった。
ただし、1か月に1000件近い修正プログラムが通知されても、現場では評価、検証、適用が必要になる。講師は「大企業でも難しい」と指摘し、適用できていない箇所が攻撃されると途端にやられてしまうと述べた。
評価・検証・適用の作業は、1件当たり3回以上かかるという。会社によっては半年に1回、まとめて実施するところもあるとした。一方、攻撃者は情報公開後すぐに悪用可否の解析、攻撃対象の検索を行い、これらはAIで可能になっている。
金融庁の要請は「経営課題」としての対応
講師は、金融業界が最も金銭に絡み、金融庁は省庁の中で動きが早いことから、業界を問わず金融庁の発信を伝えていると説明した。
金融庁は、Claude Mitosなどのフロンティア AIの脅威に対し、企業側もAIを使って脆弱性への対応を迅速化することを求めている。すべてを対応する必要はなく、優先順位をつけることで現実的な対応ができるという考え方だ。
主な要請は次のとおり。
- ITやセキュリティのリスクはIT部門ではなく経営リスクとして捉え、経営トップが直接関与する
- 最重要システム（予約サイトであれば予約システム）の優先順位を明確にし、対策を厚くする
- パッチ適用（修正プログラムの適用）では人的リソースを追加する
- 被害を防ぐため、サービスの能動的な停止も選択肢とする
- 認証を強化し、不正アクセスを早期に検知できるようにする
- 対応体制を整備し、組織的に対応する
内閣官房のNCO（ナショナルサイバーセキュリティオフィス）も、脆弱性管理と認証の強化を求めているという。
攻撃の経済性も変わった。従来、金銭目的の攻撃者は特定の大企業を数か月かけて狙う標的型攻撃が主流だった。AIによる攻撃で攻撃側のコストパフォーマンスが改善し、これまで対象にならなかった中堅・中小企業にも無差別攻撃が来る状況になった。
講師は「今まで大丈夫だったのは、自社のセキュリティ対策が功を奏したというより、攻撃者側のコストの問題で来なかっただけ」と述べた。セキュリティ投資が大企業より限られる中堅・中小企業では、相対的にリスクが増えている。
重大な脆弱性は3日以内、CISAの考え方を紹介
講師は、米国のCISA（日本のNCOに相当）が、危険なものは3日以内に対応するよう定めていると紹介した。危険度が高いのは次のケースだ。
- システムへの侵入にIDとパスワードが不要で、誰でも入れる
- 脆弱なシステムがインターネットに公開されている
- 攻撃のやり方が公開され、誰でも実行できる
社内のみでアクセスするシステムは、もう少しゆっくり構えてよいとした。
講師は、9月から10月に公表された被害は6月ごろに侵入されたものだと言われていると述べた。今後さらに高性能なAIが登場すれば時間は短縮され、被害が拡大するとの見立てを示した。
情報漏洩時の体制、記者会見でやってはいけないこと
漏洩が起きた場合の対応も説明した。情報システムやIT部門を中心にCSIRT（サイバーセキュリティインシデントレスポンスチーム）を立ち上げる。常設の場合もあれば、有事のみ立ち上がる組織横断のチームもある。
CSIRTはまず、セキュリティ業者などを使い、どこから侵入され、どの程度の情報が持ち出されたのかという事実を確認する。ダークウェブで盗まれた情報が売られていないかも確認する。そのうえで対外発表に進む。
記者会見で問われるのは、個人情報が漏れたかどうかと、復旧の時期だ。広報、法務、財務と連携して対応する。
講師は、ホテルや旅館が「漏れたのは予約サイト側で、責任は予約サイトにある」と話すと「たちまち炎上する」と指摘した。お客様に直接サービスを提供する側が責任を持つ委託元責任があるためだ。
講師の会社には記者会見の訓練サービスがあり、カメラ役や記者役を設けて実施するという。
PHPの脆弱性、深刻度は最高レベル
講師は「先週出た」PHPの脆弱性にも触れた。PHPはWebサイトで使われるプログラミング言語で、利用者ごとのページを生成する。予約サイトでは必ず使われているもので、世の中の約7割で使われているという。
深刻度は最高レベルだ。認証なしで外部から不正な命令を送りつけられ、実行できる。想定される被害は次のとおり。
- サーバー（Webサイト）の乗っ取り
- ウイルスの仕込みによる感染拡大
- DDoS攻撃への悪用
- 個人情報や内部データの不正取得
- Webサイトの改ざん
- サービス停止
対応策は、修正プログラムの即時適用と、適用後のサーバー再起動だ。レンタルサーバーでも、PHPの部分は利用者側で対応が必要な場合がある。暫定対処としては、WAFの活用が挙げられた。サーバーやWebサイトとインターネットの間に置く防御装置だ。
今すぐ、1か月以内に実施すべき対策
講師は、今すぐ実施すべき点検事項を次のように示した。
- 公開システムの資産把握（インターネットから直接アクセスできるシステムの特定）
- OSやソフトウェアのバージョン最新化
- ログの確認
- MFA（多要素認証）の導入
- パスワードの強化
パスワードは頻繁に変更するより、長くて複雑なものを設定するのが現在の考え方だという。例として、覚えやすい文章をローマ字にし、数字と特殊文字を加える方法を挙げた。
1か月以内に実施すべき項目は次のとおり。
- 脆弱性診断の実施
- 保守契約の見直し（重要なものは追加費用を払ってでもすぐ対応してもらう内容へ）
- 不要アカウントの棚卸し（退職者のIDなどの削除）
- 利用目的を終えたデータの削除
- 委託先、再委託先を含めた管理
- 侵害を前提としたログ監視の強化
ログ監視については、社員だけでは夜間や土日に気づけないため、24時間の監視が重要だとした。SOC（セキュリティオペレーションセンター）に依頼すれば、24時間365日の監視が可能になる。
経営層に向けては、次の点を示した。
- インターネットから直接アクセスできるIT資産を把握する
- 脆弱性に加え、設定ミスや過剰な権限といった弱点を減らす
- 運用開始前の開発工程で脆弱性を潰す
- 24時間の検知とブロックを行う
- 攻撃手法の変化を踏まえ、検証と改善のサイクルを回す
- ダークサイトで脅威を監視し、事前対策につなげる
- 不正アクセスの痕跡を見つけたら、原因調査と二次被害防止を迅速に行う
講師は、対応には人員の強化も含め、会社全体で取り組む必要があると述べた。
AIにはAIを、SCS評価制度も紹介
攻撃者がAIを活用している以上、防御側もAIを使わなければ攻撃の速度、量、複雑さに追いつけないという。柱は2つ。インターネットに公開されたIT資産の脆弱性を見つけて早期に是正すること、そして防御は100%ではないため侵入時にいち早く検知して撃退することだ。早期発見・早期対処の「早期」は、マシンスピードだと述べた。
経済産業省は今年度末から、サプライチェーンリスクに対するSCS評価制度を開始する予定だ。講師は、よくできた制度だが、AIを悪用した攻撃のスピードや量には追いついていないとし、対応しながら追加の対策を講じるよう呼びかけた。
まとめとして、全ての脆弱性への即時対応は困難なため、リスクベースで優先順位をつけること、クリティカルなものは3日以内を目安とすることを挙げた。対応できないものは、攻撃される前にシステムを停止し、修正後に再公開することも視野に入れる。人手だけでは難しく、ITツールの積極活用も求めた。脆弱性対応は経営課題だと締めくくった。
質疑応答、外部サービス活用の是非
質疑応答では、チャットなどで質問が寄せられた。
自社でシステムを保有せず外部システムを使えば、自社での対応は少なくなるのかとの質問に、講師はクラウドサービスやGmailなどのSaaSを積極的に活用すれば、脆弱性対応は専門業者が進めると回答した。サービスの品質を担保するために行われるという。
AIによる攻撃に中小企業が対処するには、専門業者に頼むしかないのかとの質問には、サイバーセキュリティは専門知識が必要で、自社対応は大企業でも難しいと説明した。AI以前から攻撃者はITに長けたハッカーであり、対抗するホワイトハッカーを雇う構図があった。現在はそれがAI対AIになっているという。できるだけ外部を使うのがよいとした。
更新情報の検知からパッチ検証、適用までをAIで自動化できるかとの質問には、考え方としては可能だが、現時点ではまだできないと答えた。AIエージェント（デジタルワーカー）の機能として、情報の配信を受けて修正プログラムを当てるサーバーやシステムを選定し、適用する仕組みを作ることは可能だとした。
料金体系については、必要な対策は企業ごとに異なるため、まず状況を聞いたうえで見積もるのが一般的だと説明した。
専門の外部サービスは中小企業の脆弱性対策にも有効かとの質問には「その通り」と答えた。外部業者はサービス品質を担保するため、脆弱性対策に真剣に取り組んでおり、効率的にセキュリティ対策ができるという。
「ホスピタリティを守るための投資を」
講師は最後に、観光業ではホスピタリティが重要だと述べた。情報セキュリティは平常時にホスピタリティへプラスになるわけではなく、何か起きた時に悪影響が出るものだ。平常時は対策も投資も進みにくいが、ITなしにサービスができない今、「ホスピタリティを守るための投資」をしてほしいと呼びかけた。
