あなたの会社はどの型？ 先週の漏えい事件から作った3つのチェック

今週の事件は「3つの型」に分けられる

今週報じられた事件を見ると、原因はおおきく3つの型に分けられます。

• A：古いサイト放置型 … 昔作ったWebサイトやシステムを、更新しないまま使い続けている
• B：部品おまかせ型 … システムに組み込んだ外部の部品（ライブラリなど）を把握していない
• C：置き場所バラバラ型 … 大切な情報を、どこに預けているか把握していない

下のチェックシートで、当てはまる項目に印をつけてみてください。各パターンで2つ以上当てはまったら、その型に近いと考えてください。

チェックシート

A：古いサイト放置型

• □ 会社のWebサイトや問い合わせフォームを、何年も作り直していない
• □ サイトがどのバージョンのPHPで動いているか、答えられない
• □ サイトの管理は制作会社に任せたままで、更新の連絡を受けたことがない
• □ 「脆弱性が見つかった」というニュースを見ても、自社に関係あるか確認する人がいない

B：部品おまかせ型

• □ 自社のシステムに、どんな外部の部品（ライブラリやパッケージ）が使われているか一覧がない
• □ 部品の更新は「動いているから」と後回しにしている
• □ 開発会社やエンジニアに任せていて、更新の状況を聞いたことがない
• □ 生成AIを使うツールを、社内で試しに導入したことがある

C：置き場所バラバラ型

• □ メール配信やフォームなど、顧客の情報を預けている外部サービスを全部は挙げられない
• □ 社員が生成AIに何を入力しているか、ルールが決まっていない
• □ IDやパスワードを、クラウドのサーバーや共有ファイルに保存している
• □ 使わなくなったサービスに、データを残したままにしている

A：古いサイト放置型の人へ

10月21日、プログラミング言語「PHP」に重大な脆弱性が見つかり、IPA（情報処理推進機構）がPHPを使う企業に速やかな対応を呼びかけました。カナダ政府のサイバーセキュリティセンターによると、悪用されると、ログインしていない攻撃者にプログラムを実行されるおそれがあります。

修正版は PHP 8.5.12／8.4.27／8.3.36／8.2.35 です。一方、PHP 8.1以前は公式のサポートが終わっていて、通常の修正版は提供されません。

まずやること： 制作会社やサーバー会社に「うちのサイトのPHPのバージョンは？」と聞いてみてください。8.1以前なら、サイトの更新を計画しましょう。

B：部品おまかせ型の人へ

同じ週には、JavaScriptを動かす「Node.js」に脆弱性10件が見つかりました。また、生成AIを使うためのPythonの部品「LiteLLM」のバージョン1.107.0に、不正なプログラムが入っていたことも分かりました。LiteLLMは公開の手順そのものが侵害されたもので、クラウドの認証情報やAIサービスのAPIキーなどを盗むおそれがありました。

使っている言語が何であっても、外から取り込んだ部品が入口になることがあります。

まずやること： 開発会社やエンジニアに「使っている部品の一覧はありますか？ 更新はいつしましたか？」と聞いてみてください。

C：置き場所バラバラ型の人へ

ラクスライトクラウドのメール配信サービス「ブラストメール」では、全契約者の登録情報と、一部の契約者のメール配信先リストが持ち出されました。横浜市（ボランティア応募者6334人）やJR四国（最大約3万件）なども影響を公表しています。自分の会社は攻撃されていなくても、預けた先から漏れることがあります。

パナソニックHDの子会社では、社員が禁止されている外部の生成AIに、従業員や家族など約33万4千人分の情報をアップロードしていました。会社は、外部からの攻撃ではなく社内ルールの違反だと説明しています。

GMOの「お名前.com デスクトップクラウド」では、サーバー内に保存されていた取引口座のログイン情報が盗まれ、悪用された可能性があります。影響の可能性があるサーバーは26,739件です。

まずやること： 顧客や社員の情報を「どこに」「何を」預けているか、一度書き出してみてください。いらないものは消し、残すものは置き場所を決めておくことが第一歩です。