プロジェクトマネージャー 清水 正幸
前編では、個人情報漏えいが頻発する背景や、
AIの登場によって防御側が圧倒的有利とは言えない厳しい現状についてお伝えしました。
後編では、本コラムの本題である「やるべき対策」を掘り下げていきます。
これまでも「〇〇株式会社の個人情報が●●万件流出」という報道は幾度となくあったと思いますが、次のような疑問を感じたことはありませんか？
「なぜ個人情報が流出したと分かったのだろう？」
「誰が、何の目的で盗んでいるの？」
「流出したデータはどこに行くの？」
「自分は被害に遭った企業の会員じゃないから関係ない」
それぞれの疑問を一つずつ解き明かしていきましょう。
なぜ個人情報が流出したことが分かったのだろう？
ニュースで発表されるのは、サーバーのアクセスログ解析によって「データの持ち出し痕跡」が明確に確認された場合や、闇市場などで「実際の流出データ」が発見された場合です。 逆に言えば、攻撃者がログを消去して監視をすり抜けている場合は、企業側も流出に気づけず、発覚までに数か月〜数年かかるケースも少なくありません。
誰が、何の目的でやっているのか？
主に海外の国境を越えたプロの犯罪組織や個人が、金銭獲得を目的に行っています。技術力を誇示したい古典的なハッカーは減少し、現在のサイバー攻撃の多くは裏社会のビジネスとして組織化されています。盗んだデータを盾に身代金を要求する(ランサムウェア)攻撃を行ったり、データを他者に売却して利益を得たりしています。最近では生成AIの悪用により、攻撃のハードルが下がったことも被害急増の一因となっています。
※ランサムウェア(Ransomware)とは
身代金(Ransom)とソフトウェア(Software)を組み合わせた造語。
データを暗号化して使えなくし、復元と引き換えに金銭を要求する悪質プログラム。
流出したデータはどこに行くの？
まず、流出データは「ダークウェブ(闇の専用サイト)」などで売買されます。
そのデータを手に入れた別の犯罪グループが「〇〇サービスをご利用中の皆様へ」といった本物そっくりのSMSやメール(フィッシング詐欺)を送りつけ、カード情報などを騙し取ったり、入手したIDとパスワードの組み合わせを使って他のあらゆるサービス(ECサイトや共通ポイントなど)に自動でログインを試み、身に覚えのない買い物をしたりポイントの不正利用などに使ったりします。
「自分は被害に遭った企業の会員じゃないから関係ない」は本当か？
「自分は会員になっていない」と思っていても、数年前に一度だけ利用したキャンペーンやイベント予約、過去の利用履歴がサーバーに残っているケースは多々あります。
また、グループ会社や提携サービスを経由して照合される場合もあります。
さらに恐ろしいのが、「便乗詐欺(二次被害)」です。ニュースに乗じ、流出を起こした企業やその関係者を装って「個人情報流出に関するお詫びと確認のお願い」といった偽メールを不特定多数に送信します。「会員じゃないのに届いた」と不安になり、メール内のURLをクリックして偽サイトで自ら情報を入力してしまう被害が後を絶ちません。
私たちが「やるべき対策」
企業側からの情報流出を、利用者である私たちが直接防ぐことは不可能です。かといって、便利で不可欠なWebサービスやアプリの利用を全てやめるのも現実的ではありません。例えるなら、「明日の旅行で雨を降らせないこと」はできませんが、「天気予報を見て傘を用意したり、雨天用の観光ルートに変更すること」は可能です。
情報漏えいニュースを見たとき、私たちがとるべき行動は非常にシンプルです。
「ニュースが出た ＝ 便乗詐欺メールが出回る合図」と捉えることです。
そして、心当たりのある企業から確認メールが届いたとしても、
メール内のリンク(URL）は絶対にクリックせず、検索サイトから公式サイトを開いて確認する(または、公式窓口に問い合わせる)。
やるべきことは、これだけです。
あわせて、パスワードの使い回しをやめ、定期的な変更や二段階認証を設定しておくことも重要です。「自分もターゲットになり得る」という防犯リテラシーを持ち、ニュースを見たときにこの「防犯スイッチ」が自然と入るようになれば幸いです。
