守りの要は、体力と気力

一　PHPに見つかった「何でもできてしまう」穴

PHPは、ウェブサイトの裏側で動くプログラミング言語の一つです。手軽にホームページを作れるWordPress（ワードプレス）もPHPで動いています。比較的やさしい言語なので広く使われ、奥田氏によれば、世界のウェブサイトの七割ほどがPHPを使っています。

今回見つかった弱点は、「リモートコード実行」と呼ばれる種類のものでした。悪意のある人が、自分で書いたプログラムを、よそのサーバーの上で勝手に動かせてしまう。しかもパスワードによるログインも要らない。パスワードを破られて乗っ取られる、という話とは質がまるで違う、と奥田氏は言います。

直し方そのものは簡単で、PHPを新しい版に上げればよい。ただ、穴があまりに危なく、使われている範囲があまりに広かったために、世界中が震え上がりました。高市首相が自らXで対応を呼びかけたことにも、竹田氏は「一国の首相がこんな投稿をするのか」と驚いていました。

二　人が見逃した迷路を、AIが一瞬で解いた

番組で印象に残ったのは、この穴が見つかった経緯です。奥田氏によれば、弱点そのものは2024年ごろ、すでに人間が見つけていました。ただ、それを悪用するのは無理だろうと判断され、後回しにされていたといいます。

奥田氏はこれを迷路にたとえました。とてつもなく大きな迷路があって、一瞬で解ける者が現れれば悪用できるが、そんな者はなかなか現れない。だから放っておかれた。ところが2025年から今年にかけてAIが急速に賢くなり、その迷路を一瞬で解ける存在になってしまった。

さらに、中身が公開されたAI（オープンウェイトのモデル）は、安全のための歯止め（ガードレール）を外す方向に学び直させることができます。そうして歯止めの外れたAIに「この言語にはこういう弱点があるらしい、やり方を見つけてみて」と頼めば、見つけてしまう。修正版が出る前に悪用が始まる弱点を「ゼロデイ脆弱性」と呼びますが、今回のPHPの件はまさにそれにあたる、という説明でした。

そして奥田氏は、こうした穴はPHPに限らず、ほかの言語にもまだたくさん眠っていると考えてよい、と言います。人がまだ気づいていないか、誰にもできないだろうと放っておかれているだけだ、と。

三　その夜、エクスチェンジャーズは何をしたか

PHP側は、日本時間の夜11時に修正版を出すと予告していました。ところがその前に、ある研究者が攻撃のデモを公開してしまいます。これではやり方がすぐに広まる。修正版がまだない以上、できることはサイトを閉じることだけでした。

エクスチェンジャーズはPHPを使う部分のサイトを早々に閉じ、11時に修正版が出るとすぐに当て、そこから検証に入りました。版を上げればすぐ元通り、とはいかないのがシステムの厄介なところで、動かなくなる部品が出てくることもある。ほかに穴はないか、すでに何かを仕込まれていないかを調べ、大丈夫と分かってから再び開く。その手順を踏んだので、エンジニアにとっては大変な一週間になりました。なお、エクスチェンジャーズのアプリはPHPを一切使っていないため、影響はなかったそうです。

竹田氏は、もしこれが朝4時のアナウンスだったらどうなっていたか、と問いかけました。夜11時という、日本人がまだ起きている時間だったのは、たまたまの幸運だったのです。

四　怖いのは「潜伏期間」

では、ほかで実際にやられたサイトはあるのか。奥田氏によれば、悪用の動きは確認されているものの、攻撃が成功したという報告は今のところ出ていません。ただ、それは公表されていないだけかもしれない、と言います。

攻撃する側の心理として、すぐに何かをするとは限らない。いったん何かを埋め込んでおき、皆が忘れたころに、データを暗号化するなどの悪さをする。竹田氏は「ウイルスみたいだね」と応じ、二人は「潜伏期間」という言葉で一致しました。

とくに心配なのは、エンジニアが社内にいない中小企業や町の診療所など、仕組みが古いままのところです。システムは開発会社に任せきりで、その開発会社は多くの客先を抱えて手が回らない。首相のXを見て慌てた時点で、もう遅かったかもしれない。サイトを閉じても、すでに何かが埋め込まれている可能性は残り、外から見ても分からないことが多いのです。一か月後、二か月後に情報の流出がさらに出てくる可能性は否めない、というのが奥田氏の見立てでした。

五　GMOの件は、まったく別の話

話はGMOの件に移ります。奥田氏はまず、これはPHPとは無関係だと断ったうえで、被害を受けたサービスを説明しました。「お名前.com デスクトップクラウド」は、ネット越しにいつでも使える仮想のパソコンを貸すサービスで、24時間つけっぱなしにできるため、FX（外国為替証拠金取引）の自動売買に使う人が多かった。自動売買だったことが、かえって被害の発見を遅らせたとも言われます。

なぜこうなったのか。攻撃者とされる者が出した声明では、GMOの経営が簡単な弱点を放置していた、と指摘しています。報道でも、社内では課題として把握されていたが、経営が後回しにした、と伝えられています。奥田氏は、確定した情報ではないと前置きしつつ、その見方はおおむね妥当だろうと同意しました。簡単な修正だったはずなのに、なぜ後回しにしたのかは謎だ、とも。

攻撃者は身代金を求め、払わなければ個人情報をさらすと脅し、実際に一部をさらしました。竹田氏はこれを「劇場型」と呼びました。一方で、声明の出し方には不自然な点が多いとも二人は言います。ふつうはダークウェブ（一般の検索では届かない裏のネット）で公表するところを、一般のサーバーで公開している。成りすましや愉快犯の可能性も否めず、もし本人なら相当な素人だ、という見方でした。

身代金を払う会社はあるのか、という問いには、大手でも払った例は結構あると聞く、という答えでした。払えば戻るケースが多いが、戻らないこともある。アメリカではサイバー攻撃への保険が充実していて、払ってしまう選択がなされることもある。世の中には「払えば止めてくれる」と信用されている攻撃集団まであるそうで、竹田氏も驚いていました。

六　守りの要は、戦前と変わらない

竹田氏は、視聴者のために「エクスチェンジャーズはなぜ大丈夫と言えるのか」を尋ねました。奥田氏が挙げたのは三つです。

一つ目は、情報の隔離です。一か所を破られても、ほかには及ばないようにする。乗っ取られても、持ち出される情報がない、少なくとも限られる。これは設計の初めから貫いてきた考え方だといいます。二つ目は点検です。穴はないか、変なものはないか、身に覚えのないことが起きていないか。これを怠っている会社は多いが、自分たちはきちんとやっている、と。三つ目は、一人ひとりの心構えです。やられる多くは、まず個人が破られ、そこから社内の網に入られる、という形だからです。

ここで竹田氏が、サイバーの話だが、要点は戦前から同じだ、と言いました。いつもきれいに掃き清めているから、異常にすぐ気づける。日本海軍は軍艦をぴかぴかに磨き上げていた。客船でもないのにそこまで磨いてどうするのか、と思われるほどだったが、それは異常を一瞬で見つけるためだった、と。

奥田氏は、医療の現場、手術室に近いと応じました。メスをきちんと整え、今日何をするかを全員で確かめてから始める。呼ばれたらすぐ行けるようにしておく。整理、整頓、体力、気力。竹田氏は「どれだけアナログなんだ」と笑いながらも、「そういうのは日本人の得意なところだ。ものづくりの現場もそうだ」と結びました。

では、これからしばらく続くであろう守りの日々をどう乗り切るのか。奥田氏の答えは「今のところは、エンジニアの気力と体力」でした。修正の知らせが出たらすぐ気づける仕組みを整え、エンジニアは枕元にスマホを置いて、何かあれば起きられるようにしておく。やがては守る側もAIの力を借りられるだろうが、今の時点ではそれしかない、と。

七　私たち一人ひとりにできること

会社から情報が漏れること自体は、個人では防ぎようがありません。個人が防ぎたいのは、どこかで漏れたパスワードを使い回していたために、別のサービスまで破られることです。奥田氏が勧めたのは次のようなことでした。

まず、パスワードの使い回しをやめること。そして、使えるところでは必ず二段階認証かパスキーを設定すること。二段階認証は、申し込みや決済のときにメールなどで届く番号を入れる方式です。パスキーは、スマホそのものを鍵にする方式で、スマホのロックを指紋や暗証番号で解けることをもって本人とみなします。メールのアカウントを乗っ取られると二段階認証は破られかねないが、パスキーなら手元のスマホが鍵なので、より安全だ、という説明でした。

次に、GoogleやYahoo!のアカウントのように、ほかの多くのサービスの親鍵になるものは、心臓部だと考えること。そのパスワードは、紙に書いて金庫にしまうくらいでもよい。使い回しは絶対にだめです。それ以外のパスワードは、自分で考えるより、ブラウザが自動で作る完全にでたらめなものを使い、ブラウザに覚えさせるのがよい、と奥田氏は言います。ブラウザを常に最新にしておくことが前提です。

ブラウザに覚えさせる利点として挙げられたのが、フィッシング詐欺への備えでした。本物そっくりの偽のログイン画面は、ふつうの人には見分けがつきません。けれどもブラウザは、登録した本物のサイトと違えば、パスワードを入れようとしないので、偽物だと気づかせてくれる。これはブラウザにしかできない働きだ、ということでした。

家庭や職場のWi-Fiルーターも、常に最新の版にしておくべきなのに、怠っているところが多いそうです。版を上げるだけなら、エンジニアでなくてもできることがある、という指摘は、私たちにも耳が痛いところです。

八　経営者が気をつけること

経営者は何に気をつければよいか。奥田氏の答えは、自分の会社がどんな情報を持っているかを常にはっきりさせておくこと、でした。それはどういう情報か、誰が管理しているか、どんな認証がかかっているか。毎月確かめてもよいくらいだと言います。さらに言えば、使っている仕組みの版が最新か遅れているかにまで関心を持てれば、なおよい、と。

九　本人確認は、ICチップの時代へ

エクスチェンジャーズからの知らせとしては、止めていたサービスがこの日までに安全に復旧したこと、AIエージェントによる決済の取り組みは、しばらく守りに徹しつつも続けていくこと、などが語られました。

なかでも私たちの暮らしにかかわるのは、本人確認のやり方の変更です。これからは、免許証の写真を撮って送るだけでは本人確認ができなくなり、マイナンバーカードなどのICチップをスマホにかざして読み取らせる方式に切り替えていくといいます。すでに本人確認を済ませた人はそのままでよいそうです。

理由は、ディープフェイク（AIによる偽の画像や動画）の進歩です。免許証の画像が漏れれば、それを手に持った自分の顔写真のような偽物を作れてしまう。手元のパソコンで動かせる動画生成のAIも出回っています。漏れた情報を突き合わせれば、どのお年寄りが地方で一人暮らしか、といったことまで分かってしまう。竹田氏は、ここ一か月の個人情報の流出は合計で3億件に上るという集計に触れ、日本の人口をはるかに超える数だと嘆いていました。

結び　大事なところはアナログで、挑むところは先端で

番組の終わり近く、竹田氏は、飛行機に乗ったらQRコードが使えず紙の券を渡された話をしました。最後はアナログなのだ、と。日本がこれを機にデジタル化で足踏みするのか、それでも進めていくのか、分かれ目の時代なのかもしれない、と二人は語り合います。

奥田氏が気にかけていたのは、日本が足踏みしたとき、新しいことに挑めなくなったエンジニアが海外の仕事に移り、日本がさらに遅れていくことでした。そのうえで、エクスチェンジャーズとしては、大事なところはアナログで着実に管理しつつ、先端のことにも挑み続けたい、と結びました。同社が一番漏れてはならないものとしている現物の金や宝石は、誰も知らない金庫に収められているそうです。

AIが人の見逃した穴を一瞬で掘り当てる時代になりました。けれども、それに立ち向かう守りの要として語られたのは、磨き上げた軍艦であり、整えられた手術台であり、枕元のスマホでした。掃き清め、点検し、呼ばれたらすぐ動く。日本人が昔から大切にしてきた構えが、いちばん新しい戦場でも試されているのだと感じます。私たち一人ひとりも、まずはパスワードの使い回しをやめるところから始めたいと思います。

付記　番組の話を、記録と報道で確かめる

番組で語られたことのうち、事実にかかわるものを、公式の発表と報道で確かめました。番組の側だけでなく記録の側も鵜呑みにせず、記録で確かめられることと、記録からは分からないことを分けています（10月30日時点）。