情報セキュリテイ政策研究会 第四回（1998年4月9日）

講師

国際セキュリティコンサルタント　伊藤穣一先生

演題

インターネット時代のセキュリティ＆危機管理

不正アクセスによる犯罪の増加

　９７年度のＦＢＩの調査によると、不正アクセスによる犯罪は急激に増加している。 どれくらいの増加かいうと、「強盗」が起こる件数ではなくて、 「万引き」が起こる件数と思ってもらえればわかりやすい。 不正アクセスの被害報告者の約７５％は、経済的被害を受けており、 損失額が2500万ドルにのぼるケースもあった。現在FBIは、 犯罪による被害金額の大きなものを優先的に捜査している。 また、犯罪の数があまりにも増加したので、 事件が起きてから一つ一つ捜査するのではなくて、 数字によってどういうトレンドが起きて、 それに対してどう対処するかという分析を行っている。

　COAST(Purdue大学)レポートによると、 インタビューしたアメリカの主要企業の99%は、不正アクセスの被害を受けている。 日本の企業のシステム管理者は、 「(自分のところは)セキュリティが確立されている(から大丈夫)」 という言い方をするが、アメリカの企業のほとんどは、 不正アクセスの被害を受けているのである。大切なのは、 セキュリティがきちんとしているか、してないかではなくて、 事件が起きたとき「いかにリスクを減らすよう対処できているか」ということである。

　日本では、不正アクセスが起きるとシステム管理者の責任になるので、 被害の事実を報告しない傾向が強い。2カ月後に出るウォールーンという調査では、 アメリカでさえ、 「実際に起きたインターネット関連犯罪の12%しか警察に報告されてない」としている。 また、被害を警察に報告した企業のうち20%しか「警察に報告してよかった」 と思っていない。 なぜなら、警察に報告してしまうと、警察はその企業の広報のことを全く考えずに、 不正アクセスによる被害の事実を公表してしまい、 そうした事実を公表されたことによる企業の損害が大きいからである。

　また、サイバー上のスパイ等に対しては、不正アクセスされた、 あるいは犯罪が行われたということさえ、気がつかないケースが多い。 日本政府が今年中に行わなければならない広報戦略の一つとして、 「犯罪は、起きている」「日本だけが例外ではない」 ということを国民に理解させるということが必要である。 先日通産省は、製造業に関するレポートを発表したが、 「思ったよりセキュリティが悪かった」という結果だった。 「日本のセキュリティは大丈夫」という勘違いは、早急に正さなければならない。

ネットワーク・セキュリティの3つのカテゴリー

1. ナショナルセキュリティ(IWAR、サイバー・テロ、産業スパイ)
2. 詐欺(電話、クレジットカード、銀行)
3. プライバシー侵害と不法侵入(破壊行為、ストーキング、ハッキング／クラッキング)

1. ナショナルセキュリティ(国家安全保障)のレベルでは、 IWAR(Information War Fare)対策にペンタゴンが資金を提供しており、 国家としてコンピュータを使った戦争のサポートについて研究を行っている。 きっかけは、湾岸戦争の時にコンピュータ・ウィルス等が戦争の勝利にかなり貢献したからである。
   　さて、サイバー・テロ(国家のインフラに対して、 コンピュータを使ってテロを行う)について、コンピュータを日頃使ってない人は、 「自分には、あまり関係ない」と思うかも知れない。 しかし、原子力発電所の制御やガスパイプのバルブコントロール・システムは、 ネットワーク・コンピュータでコントロールされている。 道路交通や航空管理、薬の製造などにもコンピュータが使われている。 我々の日常生活のインフラがサイバーテロの対象になっているので、 国家の安全保障はもちろん、国民生活にも深く関わっている。
2. 詐欺については、最近よく報道されているが、人の電話を勝手に使うとか、 他人のクレジットカード番号を使って買い物をするとか、 銀行からお金を引き出すといったことである。こういう犯罪者も増えているが、 アメリカの捜査機関と話してみると、犯人はほとんど捕まっていない。 若いいたずら小僧は、不正アクセスを行って、わざと痕跡を残す傾向にある。 「自分がここに来た」という証拠を残しているので、 警察もそれを追うことができるが、本当のプロは痕跡を残さない。 だからアメリカでも、こうしたプロは捕まっていないのである。
3. プライバシー侵害と不正侵入とは、 よく報道されるクラッカーやハッカーの問題である。こうした問題は、 ほとんど10代の子供が遊び半分に不正侵入したり、 ホームページを書き換えたりといった内容である。

　3種類のカテゴリーに分類したが、システム管理者から見れば、 この三種類の侵入者は同じに見えるかもしれない。しかし、 社会的に見るとその影響や本人の目的は、かなり異なっている。具体的ケースでは、 ある16歳の子供がプロバイダーにいやがらせをして「セキュリティが悪いので、 改善しないと殺す」というＥメールを書き込んだ。 この16歳の男の子は、強要罪に問われ、裁判が行われている。 今、テロリストや暴力団等色々な人がコンピュータを使って、 犯罪を犯そうとしているが、 暴力団に対して適用するような罰則をいたずら半分でやった16歳の男の子に適用するのは、 社会的に見ていかがなものか。表に出てくる若い人たちが起こした事件に翻弄されず、 日本の犯罪組織や海外の犯罪組織がどのようにコンピュータを使おうとしているかということを分析することが重要だろう。

ナショナル・セキュリティ

　PCCIP(President’s Commission on Critical Infrastructure Protection) のレポートによると、政府のクリティカルな通信の90%は、 民間の通信網を使っているという分析結果が出た。 政府の安全保障の為の通信網のほとんどは、民間の通信網を使っているのである。 民間側からは、「なぜ、我々が政府の安全保障のためのコストを持たなければならないのか」と不満がでていた。 そこで、民間側からと政府側からのメンバーでタスクフォースを組んで、 いかにこうしたインフラを守るかといった勉強会をしたところ、 政府からの予算がかなり出るようになった。こうした分析は、日本でも必要だろう。

　私は先日、情報戦争のシュミレーションをやっている人から、 日本に対する電子的攻撃について、個人的なメールをもらった。 彼は、「日本はNATOの中で、一番情報の危機管理ができておらず、 そして一番狙われている」と分析している。日本の製造業などの効率の良さは、 いわば危機の高さの裏返しである。 彼からのメールは「こうした日本の情報の危機管理について、 誰と話していいかわからない。NATOの方でも日本をリスクとして感じているが、 “日本には窓口がない”と言っている。防衛庁と話しても埒があかないので、 何とかして欲しい」という依頼であった。

　アメリカは戦後、暗号を管理するNSAという組織を使って、 スパイのような活動を行ってきた。電子メールや色々な情報を世界中から集め、 分析して、国の秘密情報として使っている。 だから、アメリカの暗号政策やセキュリティ政策の下で、 我が国が政策を作成してしまうと、金魚鉢のように相手から丸見えになってしまう。 当たり前のことだが、アメリカのアナリストによると、 日本が独自の考え方や政策を持っていないと、 アメリカから見ると金魚鉢になってしまうし、 パートナーも一緒に危険にさらしてしまうということになる。 企業間のスパイも国家間のスパイも、日本では、取り締まる法律がない。 しかし情報化社会の中で、情報の持つ意味は、非常に重要になってくる。 アメリカの企業などでは、こうした“情報”を資源として利益を上げている。 この点について分析したレポートも、2カ月後くらいに発表される。

　ロンドンタイムスによると、 「銀行がハッカーにコンピュータへの侵入を止めさせるため、4億ポンド支払った」 という事件があった。この事件は、一度報道されたきり、その後表に出なかったので、 きちんとした裏付けはとれてないが、 私は報告した本人に話を聞いたので、かなり信憑性は高い。簡単に言うと、 銀行のコンピュータに不正アクセスして、 「いくらかのお金を払わないとコンピュータ・システムを倒す」と脅迫した、 というものであった。こういう脅迫事件の中でも大きなものは、 20億円くらいの被害を受けたケースがあった。 現在、6つくらいのサイバー・ギャングが世界中の銀行を脅迫して、 お金を引き出していると言われている。 そして、こうした事件の被害者になった銀行は、ほとんどその事実を報告していない。 銀行が使っているシステムというのは、 世界共通なので、日本だけにこうした事件が起こらないということはあり得ないのだ。

国家の信用

　アメリカでは、司法省のホームページやCIAのホームページが書き換えられる事件が、 起きている。CIAのホームページが書き換えられたときに、 「大した情報は載ってないので、大丈夫」というコメントが出たが、 一般国民としては、「CIAが自分のホームページを守れないのなら、 一般の国民が守られなくて当たり前じゃないか」ということになる。 日本の省庁や政党のホームページの立ち上げを見ていると、危機管理がかなり弱い。 まず、国のホームページはきちんと管理しなければ、 一般国民の不安感を解消できない。

　また、日本の法整備は、先進国の中で一番遅れている。現在日本においては、 不正アクセスして情報を見るだけなら、犯罪にはならない。 この事実は、世界中のハッカーが知っている。だから日本は、 犯罪の“ジャンプ台”として使われている。普通のハッカーは、 自分のコンピュータから直接相手に攻撃を行うわけではない。 いくつかのコンピュータを通し、例えば日本国内のホームページを経由して、 アメリカの国防省を攻撃するのである。 警察庁の方からいくつか法案が出されるということだが、 今は“ジャンプ台”にされても、そのこと自体は違法でないので取り締まることができない。 日本の環境は、犯罪者にかなり利用されているはずだと言われているが、 日本では“ジャンプ台”に使われていることさえ、 気づかれていないというのが現状である。

ハッカーの手口と物理的セキュリティ

　コンピュータ犯罪というと、皆さんのイメージは、 若いハッカーがコンピュータの前で、 ひたすらパスワードを叩いているというイメージがあるかも知れない。 今の犯罪の起こし方は、まず、 あるコンピュータの中にどういうソフトが走っているかスキャンして、 そしてそのソフトの穴（セキュリティ・ホール）を見つけて、コンピュータに入り、 そこから自分用（不正）のアカウントを作る。 そして、そこから違うソフトの穴を探しに行く。こうした作業は、 手作業でやるのではなくて、すっかりシステム化されている。 あるプログラムを起動させて、夜飲みにいって、帰ってくると、 何千というアカウントができているのである。かなり自動化されているので、 一人のハッカーは、一晩で何万という犯罪を起こすことが可能である。さらに、 このアカウントをどこかにデータベース化して、ハッカー同志で交換するので、 不正のアカウントの数はどんどん増えていく。そして犯罪者は、 捜査機関や政府やセキュリティの会社を攻撃して情報を引き出し、 自分たちの攻撃用ソフトを作成している。 ハッカーにとっては捜査機関の電話や電子メールを盗聴することは、 重要なポイントである。ハッカーを追いかける人が、ハッカーに盗聴されている。 世界的にハッカーを追いかけている捜査ネットワークがあるが、 基本的に現場の捜査機関を信用しない。なぜなら、 日本の捜査機関に情報提供するとそれが盗聴されて、情報が漏れてしまうからである。 (ハッカーを追いかけている捜査ネットワークとは、政府機関ではなくて、 プロバイダーや民間企業のセキュリティ担当者が、 基本的に人間のネットワークで追いかけている。)

　コンピュータ・セキュリティは、 コンピュータの中だけの問題というイメージもあるかもしれないが、 実は、物理的なセキュリティや、人間の弱みを穴にして攻撃するというものが多い。 二つの例を挙げてみる。まずニューヨークでは、 ロシア人ギャングがコンピュータ犯罪をかなり起こしている。 原因はニューヨークでは、家政婦や掃除婦などにロシア人が多いが、 こうした人が部屋に入っていくことに対して、無警戒な人も多く、 室内の壁にパスワードが貼ってあったりするからである。 ロシア人家政婦のおばさんは、このパスワードをコピーして、息子達に渡し、 息子達がコンピュータ犯罪を犯しているのである。このケースが重要なのは、 物理的な犯罪とコンピュータ犯罪をリンクすると、大変効果が増すということである。 もう一つは、プロバイダーやシステム管理者などに電話をかけて 「パスワードを忘れたので、 教えて下さい」と言うとすぐに教えてしまうということである。 私も実際やってみたが、特にサービスのよい日本では、 疑いもせずにあっさり教えてくれた。 セキュリティ・ポリシーやセキュリティ・システムをきちんとしても、 人間で穴が開く場合があるのである。

　日本のコンピュータ・セキュリティの問題について、特徴は二つある。一つには、 基本的に日本は、島国なのでなかなか外から入ることができないが、 入ってしまうと中がふわふわというケースが多い。 例えば、銀行間のネットワークなどは、「これはNTTの専用線だから、 誰も入ることはできないだろう」と思いこんで、 中を流れる情報に暗号がかかっていなかったり、 セキュリティの対処をしなかったりする。だから、一旦入ってしまうと、 何でもできてしまう。「ファイアーウォールがあれば、大丈夫だ」と考えているのが、 日本のセキュリティである。 しかし、専用線を破っても暗号がかかっているというように、あらゆるところ、 あらゆる段階で安全性を確保しなければならない。

　もう一つは、セキュリティが破られても、 破られたことに気づかないということである。 ハッカーが一日中入り込んでいたという結果と、 2分しか入り込めなかった結果というのは、大きく違う。そういう意味で、 モニターをしているということが必要である。 去年、アメリカでは68%の企業にモニタリングのソフトが入っていたが、その前の年は、 20%くらいであった。日本では、このモニタリングが随分遅れているので、 不正アクセスされても気がつかないのである。また犯罪が起きたときには、 対処が必要だが、テロリストだったら防衛庁、犯罪者だったら警察庁、 社内だったら総務といったように、 何か起きたときにすぐに対応できるシステムが必要である。

結論

　重要なのは、ポリシーである。例えばアメリカのあるコンピュータ関連会社は、 会社のLANに勝手にモデムを接続すると、会社の規定で解雇される。 日本はモノが好きなので、ファイアーウォールがあれば、 安全だというイメージを持っている人が多いかも知れない。しかし、 一番重要なのは、どういうセキュリティ・ポリシーを作るかということである。 まずは、危機管理のポリシーから考えていかなければならない。 色々な技術はあっても、それらはツールに過ぎない。

　インターネットやサイバー空間で、悪いことをしているのは、 基本的に犯罪組織である。犯罪組織というのは、自慢もしなければ、表にも出ない。 犯罪組織を分析すると、みんな一種のビジネスマンである。ビジネスマンだから、 損益を考える。例えば、日銀に強盗に入る場合、 コストに見合った利益があるかどうかで、強盗に入るか、入らないかを決める。 いま行われている通産省の実証実験などで、危険と思われるのは、 入るためのコストは大したことないが、 現在はまだ使っている人が少ないから犯罪が起きてないということである。 ユーザーが増えて、ある時点で損益分岐点を越えた途端、犯罪は爆発的に増えていく。 だから損益分岐点に到達する前に、セキュリティ・レベルを上げなければならない。 犯罪者は学者ではないので、セキュリティの強いものを立ち上げたから、 敢えてそれに挑戦してみようなどとは考えない。マーケットが大きくなって、 損益分岐点を越えるまで、じっと待っている。日本に来ないのは、 まだマーケットが小さいからである。今年の夏から秋にかけて、 日本でもマーケットが大きくなり始めると、必ず犯罪者達が狙ってくる。 犯罪が起こり始めてからでは、もう遅いのである。

　我々はセキュリティに関する仕事をしているが、セキュリティの確立とは “何も起こらなくて当たり前”ということなのである。だから、評価されない。 何か事件が起きて、初めてその大切さを認識されるが、何か起きたときは、 “失敗”なのである。現場で対処しようとしている警察庁などを“何か起きる前” に応援していただきたいと思う。