政府にサイバー攻撃を要請したGMOの危機扇動に乗ってはいけない
連日のサイバー攻撃とか「不正アクセス」報道で、世論がかなり不安をかきたてられるなかで、GMOが政府に対し「能動的サイバー防御」を要請しました。私はこのGMOの政府への「具申」には全く納得できません。
そもそもGMOは声明などで「システムにセキュリティ上の問題があり、利用者の取引口座が不正操作された。」と述べています。この言い回しのニュアンスは、セキュリティ上の問題が、PHP問題のように一企業を越えた多くのユーザーが共通して被るセキュリティ上の問題ではなく、GMOが何らかのセキュリティ上の対処で間違いを犯したことが原因であることを認めているように読めます。だから金銭的補償も提案したのでしょう。事実、他の多くの金融関連のサイトが同様の侵入被害にはあってはおらず、防御ができています。GMOはみずからのセキュリティ上の問題への対処を棚上げして、政府・自衛隊にサイバー攻撃を要請していることに対して、政府は応じるべきではありません。
ただし、私たちがより注意しなければならないのは、サイバー攻撃の領域では、攻撃側は一般的に身元を明かすことはない、という点です。ということは、日本がサイバー攻撃(能動的サイバー防御)を実施したとしても、そのことは公表されない可能性があります。何かが公表されたとしても、それが真実なのかどうかを検証することもできません。GMOが「能動的サイバー防御」を要請し、政府が消極姿勢をとっている、という現在の表向きの動向を真に受けることにも慎重である必要があると思います。政府の消極姿勢は本当か？ということを疑っておく必要もあります。(GMOの今回の具申の背景に、政府側からの何らかの働きかけがあったのかどうかも、明かではありません)
GMOに限らず、最近の漏洩報道では、「不正アクセス」を許した原因に言及されることがほとんどありません。実空間の空き巣被害になぞらえれば、戸締りをし忘れたのか、戸締りの鍵を推測できる場所に置いていたのか、それとも、壁を壊されて侵入されたのか…。リスク管理とその責任は、原因がどこにあるのかによって大きく異なります。杜撰なパスワード管理によって侵入されたケースも少くないのではと思わざるをえない場合もあります。
多くの人々にとってサイバー領域の仕組みは理解しがたく実感もできないブラックボックスです。自分たちの手の届かなところで保管されている自分の個人情報や金融資産が喪失してしまったことにどう対処していいのか、的確な「答え」をもてる人は多くありません。原因についての情報が公開されず、結果として、多くの人々は不安をかきたてられ、専門家のGMOがいうのだからやっぱり警察や自衛隊が行動する以外にないのでは、と感じることになりかねません。こうした不安の煽られる世論の雰囲気を政府は、サイバー戦争体制の準備に利用したがるでしょう。
個人情報の漏洩が続くなかで、私たちにできる個人情報の防衛手段は多くあります。そのなかには短期的に対処できること、一人でも対処できることも多くあります。他方で、より大きな制度的な変革が必要な課題もあります。この制度の変革には、AI技術の問題やサイバー戦争=総動員体制の問題までさまざまありますが、これらはまた別の機会に書きたいと思います。
(参考)GMOによる文書二つ
GMOによる申し入れ文書(ITmediaに転載されたもの)
https://www.itmedia.co.jp/news/article/2610/24/2000002567/
今こそ官民連携で日本を守ろう
――「能動的サイバー防御」を具申した理由
https://internet.gmo/news/article/251/
JCA-NETのパンフもぜひ御読みください。
スパイ・監視と対抗するために―一人でもできることから仲間と一緒にできることまで
https://jca.apc.org/jca-netの取り組み/spy-kanshi-pamphlet_kanren-joho/