アララ株式会社は、東京都に拠点を置き、メッセージングやデータセキュリティなどのサービスを提供する日本のIT企業です。同社の「アララ メッセージ」は、企業向けの大量メール配信サービスとして利用されています。
11月2日、アララは「アララ メッセージ」への不正アクセスに関する第2報を公表しました。
同社によると、契約企業の環境から、約7,700万件のメールアドレスが外部に持ち出された、または持ち出されたおそれがあることが確認されています。
ただし、これは7,700万人の個人情報が流出したという意味ではありません。1人が複数のメールアドレスを保有している可能性があり、件数についても現在精査中で、今後変わる可能性があります。
この一連の不正アクセスでは、別の問題も発生していました。
10月28日から30日にかけて、「アララ メッセージ」の一部環境が第三者に不正利用され、クレジットカード会社を装った不審メールが最大約713万通送信されました。
送信元として公表されたメールアドレスは news@arara.com。
実際に使われた件名には、次のようなものがありました。
「利用内容確認のご依頼」
「ご利用明細確認のご依頼」
ここで、注意したい点があります。
アララの発表によると、これらの不審メールは、第三者が外部から持ち込んだメールアドレス宛てに送信されていました。
つまり、約713万通の不審メールは、流出した可能性のある約7,700万件のメールアドレス宛てに送られたと確認されたわけではありません。
一方で、この一連の事案で、大規模な情報流出と、メール配信基盤の不正利用による大量の不審メール送信が発生したことは確認されています。
この先、私たちが直面するリスク
フィッシング、なりすまし、詐欺メール、詐欺電話、ソーシャルエンジニアリングは、すでに日常的に発生しています。
アララ自身も、二次被害の防止として、同社や契約企業をかたるメール、SMS、電話、郵便物などに注意するよう呼びかけています。
ここから、サイバーセキュリティは一人ひとりに関わる問題になります。
スマートフォンで。
メールで。
SMSで。
電話で。
職場で。
家庭で。
しかも、これまで不審なメールを見分ける手がかりとされてきた特徴が、通用しにくくなっています。
警察庁も、AI技術を使って偽の動画や音声を作る「ディープフェイク」が、詐欺などの犯罪に悪用されるおそれを指摘しています。
電話の声が上司や家族の声に聞こえる。
画面には、知っている人の顔が映っている。
日本語も自然で、文章にも違和感がない。
それでも、本物とは限りません。
さらに、そこに実際の個人情報が加わります。
氏名。
住所。
電話番号。
勤務先。
メールアドレス。
IDやパスワード。
その他の個人情報。
相手が自分の個人情報を知っているからといって、信用できる相手とは限りません。
しかし、実際の個人情報が使われることで、なりすましや詐欺を信じてしまいやすくなります。
古川デジタル大臣も10月6日の記者会見で、流出した個人情報が、「なりすまし」「不正送金」「詐欺」などの二次被害につながるおそれがあると明確に指摘しています。
これからのサイバーセキュリティ教育には、情報漏えいが起きた後だけでなく、日頃からこうした脅威に備えられる内容が求められます。
「不審なメールに注意してください」という一度きりの注意喚起だけでは不十分です。
必要なのは、多くの人に継続的に届き、変化する脅威に対応できる教育です。何かを求める連絡を受けたときに、一度立ち止まって内容を疑い、別の手段で確認してから行動する。そうした判断力を身につけることが重要です。
日本でも対策が進んでいます
セキュリティ教育の重要性が認識され、具体的な取り組みが始まっています。
その具体例の一つが、SCS評価制度（サプライチェーン強化に向けたセキュリティ対策評価制度）です。
この制度は、経済産業省（METI）と内閣官房 国家サイバー統括室（NCO）の監督のもと、独立行政法人情報処理推進機構（IPA）が運営します。
この制度では、企業のセキュリティ対策状況を★3・★4などのレベルで評価します。それぞれのレベルで、従業員への教育や研修についても具体的な要件が設けられています。
★3では、役員、従業員、派遣社員、受入出向者を対象に、新規受入れ時、かつ年1回以上、セキュリティインシデント発生時の対応に関する教育・訓練を実施することが求められています。
IPAは具体例として、標的型メールを受信した際の報告訓練や、マルウェア感染時の対応訓練などを挙げています。
★4では、さらに「セキュリティの意識向上のための教育・研修」が求められます。
対象には、
電子メールによるマルウェア感染の予防
Web閲覧によるマルウェア感染の予防
機密情報の取り扱い
などが含まれ、こちらも対象者に対して新規受入れ時、かつ年1回以上の教育・研修が求められています。
さらに、教育内容そのものについても年1回以上点検し、最新のセキュリティ脅威の動向や国内外の法規制を踏まえて最新の内容になっているか確認することが示されています。
これは重要な前進です。
政府も、相次ぐ不正アクセスと情報漏えいへの対応を強めています。
ただし、これは2億6,000万人の異なる個人が被害を受けたという意味ではなく、全国の被害総数を示すものでもありません。
速報時点の数字であり、同じ事案について委託元と委託先の双方が報告している場合もあります。また、金融業や電気通信業など委任先省庁を経由した報告や、行政機関等からの報告は含まれていません。
その2日前、高市早苗総理はサイバーセキュリティに関する関係閣僚会議で、相次ぐ大規模な情報漏えいについて、「漏えいした情報を悪用した二次被害への不安が高まるなど深刻な事態」と述べ、対策を早急に強化するよう指示しました。
問題の重要性は、すでに認識されています。
課題は、制度やガイドライン、注意喚起などの取り組みが依然として分散しており、人々が実際に攻撃に直面する場面で、必要な情報や教育を継続的かつ十分に届けられていないことです。
SCSは企業にとって重要な一歩です。政府機関もさまざまな注意喚起や対策を進めています。
しかし、スマートフォンに本物そっくりのメッセージが届いた人にとって、サイバーセキュリティは制度やガイドラインの集合体ではありません。
その場で判断しなければなりません。
「これは本物なのか。私はどうすればいいのか。」
今、必要なこと
日本のサイバーセキュリティ対策において、教育をもっと重視する必要があります。
職場で働く人に。
家庭の保護者や子どもに。
スマートフォンを使う高齢者に。
学校から支給・貸与された学習用端末を使う児童・生徒に。
銀行、通信事業者、デジタルサービスを利用する人に。
都市部にも、地方にも。
そして、人々がすでに日常的に使っている端末やサービスを通じて届ける必要があります。
それこそが、SAYAの使命です。
私たちが目指しているのは、サイバーセキュリティと、デジタル社会で安全に行動するための実践的な学びを、人々が使うあらゆる端末やデジタルサービスに届けることです。
今後数週間、SAYAでは、この考え方を実際の利用環境に組み込むための新たな連携や導入事例を順次発表していきます。
しかし、これをSAYAだけで実現することはできません。
企業、国や自治体、学校、通信事業者、デジタルプラットフォーム、金融機関など、日々多くの人と接点を持つ、信頼されるパートナーとともに広げていく必要があります。
日本中の人々にサイバーセキュリティ教育を届け、安全を守るために、さまざまな企業・団体の皆さまと協力していきたいと考えています。
手元のスマートフォンに。
家庭のタブレットに。
学校から支給・貸与された学習用端末に。
職場で使うシステムに。
利用している通信サービスに。
毎日使うプラットフォームやデジタルサービスに。
セキュリティ教育は、年1回の研修だけで終わるものでも、何かが起きてから初めて受けるものでもないはずです。
日常のデジタルライフに根づいているべきです。
SAYAは、この考え方を実現するためのデジタルセーフティ・プラットフォーム／インテリジェンスエンジンです。
私たちは、人々がテクノロジーを使うあらゆる場所に、実践的なサイバーセキュリティ教育を届けたいと考えています。
攻撃は、すでに人を狙っています。
次のメール、SMS、電話は、いつ来てもおかしくありません。
