不正アクセスのその後、ソフトバンク・テクノロジー 辻氏が語った体験談

不正アクセスのその後、ソフトバンク・テクノロジー 辻氏が語った体験談

2017.08.29

ソフトバンク・テクノロジー プリンシパル セキュリティ リサーチャー 辻 伸弘氏(写真は2016年撮影)

ソフトバンク・テクノロジー(SBT)が7月24日に公表した「不正アクセスによる情報流出の可能性に関するお知らせとお詫び(第一報)」。ソフトバンクグループのICT中核会社であり、セキュリティソリューションを基幹事業の一つに据える企業のセキュリティインシデントであるだけに、注目を集めた。

今回、同社のプリンシパル セキュリティ リサーチャーとして著名な辻 伸弘氏に、事の経緯と自社で起こったインシデントにおける新たな発見、改めて伝えたいことについて話を聞いた。

SBTに何が起こったのか

簡単に事件をおさらいする。ことの発端は7月17日、同社のセキュリティ監視チームがマルウェアの実行と通信のブロックを検知したところから始まった。マルウェアは「仮想通貨採掘プログラム」、いわゆる"マイニング"を行うものだ。結果的に、標的型攻撃やばら撒き型攻撃に類するマルウェアではなく、攻撃者が取引先情報にアクセスした痕跡は第三者機関の調査で確認されなかった。

辻氏によると、今回のケースで問題となったポイントは4つある。

  • アカウント管理の不備(アカウントの整理、不要なアカウントの削除など)

  • 不適切な設定のパスワード(推定されやすいパスワードの利用)

  • 検証サーバーが外部公開されていた(アクセス制御の不備)

  • 検証サーバーにおいて多数の実データファイルを管理していた

これらの要素が複合的に絡み合ったことで「お客さまの情報を危険に晒してしまった。大変申し訳ありませんでした」(SBT 広報部)。ただし辻氏が「周囲から『個人情報の漏えいが(第三者機関からも)認められなかった事故で、公開するほどの事象なのか?』」と言われたように、マルウェアプログラムの性質上、そして実際のフォレンジック調査の結果からも、会社として公表する根拠に欠ける。

「過去の事件・事故の事例からすれば、このレベルは『調査の結果として漏れていなければ公表しなくていい』と言えるかもしれません。ですが、会社として、携わった多くの人間が公表するという意思を共有していましたし、社長の阿多も『すべてを明らかにする』という意思を持っていました」(辻氏)

その情報公開の範囲は、

  • 不正アクセスの概要

  • 漏えいの可能性のある担当者情報の内容、件数

  • 対処の時系列

  • 今後の対応

  • マルウェアのファイル名、ハッシュ値、通信先URL

と広範、細部に渡る。

「マイニングソフトですから、業種・業態を問わず幅広い企業に影響をおよぼす可能性がある。ハッシュ値で使用されたファイルの特定が可能ですし、そういったものを管理するソフトが入っていない企業であっても、通信先のサーバーアドレスがわかればUTMやプロキシサーバーでブロックできる。通信先の情報はマイニングプールと明確にわかるもので、通常の業務では"ありえない"もの。事前のフィルタリングや、ログからの痕跡を見つけ、早期に対処するための有効な手法だと思います」(辻氏)

これまでの活動が糧に

辻氏をご存じない方に説明すると、セキュリティ リサーチャーとして前職時代からさまざまなインシデントに携わり、1人CSIRTといった各種セキュリティイベントの独自調査活動も行ってきた。またマイナビニュースでも情報セキュリティ事故対応アワードの実行委員長を務めており、インシデント分析・評価だけではなく「どのようにインシデントを情報公開すべきか」といった観点でも活動してきた。

「アワードで『この対応が良かった』『こっちの方が多角的に分析できている』といった評価を、ほかの審査員と繰り返しこなしてきたことが、今回の対応に活かせたと感じています。単純に事件・事故をまとめていただけでなく、それらの例から見出すべき教訓は何か、それを元に今回の情報公開へと活かしました。これは、今までに情報を公開してくださった数多くの組織の方々のおかげです」(辻氏)

誤解を招く前に断るが、あくまで今回のインタビューは「SBTがインシデントを起こした」という事実を元にした内容だ。

しかし、辻氏の言葉や筆者の感想を含め、非常にポジティブな言葉が並ぶ。それは、「情報が漏えいしてしまった可能性がゼロではない」という事実は変えられず、「何が起きたのか」という事態の把握と、「起きてしまったことを元に、どう対処すべきか」という対策の検討が、SBTにとって重要だという考えがあるからだ。

インタビューで、「(情報公開した理由は)第一にお客さまのため」と辻氏は語ったが、責任を負うべきはあくまで顧客に対するもの。顧客に対する責任を果たして、その上で「次に同じ事態に陥らぬように何をすべきか」を建設的に議論する。そのための土壌作りとして、こうした情報公開の事例を増やすことの契機になるのではないかと感じた取材だった。

現場が萎縮しないようにする"一言"

話をインタビューに戻そう。

7月17日の14時前にマルウェアを検知してから、20日に不正アクセスを受けた形跡を確認するまでの間、19日に辻氏は対応メンバーとして現場に入った。「マルウェアメールが届いたといったことは日常茶飯事。当初は呼ばれることはありませんでしたが、いよいよ雲行きが怪しくなってきた19日から参加しました」(辻氏)。

辻氏の役割は現場のオブザーバー。代表取締役社長 CEO 阿多 親市をトップとする経営層と、当事者である現場のサーバー担当部門、対外広報部門、顧客に対する説明を行う営業部門、そして調査を依頼した第三者機関といったそれぞれの立場を俯瞰する形で、時にはそれぞれの話を咀嚼する潤滑油的な役割を果たしていたという。

「始めにも話しましたが、『なるべく多くの情報を公開しよう』というのが最初のディスカッション。その場で一つ象徴的なことがあったんです。顧客の現場に立ち会う時にもよく話すんですが、『今回の事件が起きた根本的な原因を作ってしまった人と、その上司は誰ですか?』と尋ねました。それはもちろん、"吊し上げ"のためではなく『大丈夫ですよ』という声かけ。インシデントは組織の問題であり、個人の問題ではなく、その方々が今回の当事者となったのもたまたまと言えます。」(辻氏)

実は第一報公開前、流出した可能性のあるデータはリリースよりもいくばくか少なかったという。この声かけがどう作用したのかわからないが、担当者がほかのデータもサーバー内に保存されていたことを報告し、リリース公開後に悪い情報が次々と出てくる事態は避けられた。

「人間の心情として、隠したがるのは普通のこと。役員会議に上司とともに出席するとなれば大変なことですから。でも大切なのは『これからどうするか』。前に向かって進むためには"吊し上げ"ではなく、一体となって原因を究明することが重要だと考えています」(辻氏)

経営陣が果たすべき役割

現場は一体となった。では経営陣はどうか? 辻氏は今回の対応が外部から評価される結果となった理由の一つに「社長(阿多氏)のリーダーシップ」を挙げる。

「今回の事態を把握した時、阿多は海外出張の予定が入っていたんです。トップ不在という環境は避けたかったので『出張をやめてもらう』ということがすんなり決まったんですが、実は海外企業とのサインを必要とする出張でした。主要事業の強化という命題があるにも関わらず、その意思決定が非常に早かった。当事者意識を持ち、最善を尽くすことだけにフォーカスしていたなと思います」(辻氏)

SBTに限らず、詳細なインシデント対応の事例共有は近年徐々に増えつつある。もちろん、現場チームが細部の把握と情報を上に伝えることは大切だが「トップの立ち居振る舞いが現場のチームを円滑に回す非常に大きな要因だと思う」(辻氏)。経営陣の中には、特に非IT企業においてはセキュリティに明るいとはいえない人物も居るだろう。だが、「不得意な部分は現場の意見に耳を傾けつつ、上の人間の発言を必要とする場面でしっかりとした意思決定をしてくれる人物、経営陣が大切だと思う」(辻氏)

現場の一体感と経営陣の統率力。その双方が揃っていれば万事解決と言いたいところだが、辻氏は唯一の課題として、この両者の間にあるささやかな"溝"を挙げた。

「インシデント対応のタイムスケジュールが早いか遅いか、当事者になってみるとわからないのが正直なところ。外部から『早いね』と評価いただきましたが、強いて言えば各部門と経営層のコミュニケーションがもっと円滑にできていればという場面はありました」(辻氏)

今回のようなインシデントでは、一部門ですべての対応を完結できるわけではない。顧客に対する責任、外部への公開、そして経営へのインパクト、第三者評価。それぞれ担当部門がある以上、普段は相対することのない人たちとのコミュニケーションが必要となる。

「どう動けば良いのかわからず、何かやろうとしてもそれを他部門に対して口出ししても良いのかわからない。管理者は誰なのか、経営陣を始めとする人間が意思疎通の差配をもう少しできていれば、アグレッシブにもっと動けていたかもしれないですね」(辻氏)

しかしこれもまた、誰が悪いという話ではなく、組織として経験不足であったことに起因するかもしれないと辻氏。

「標的型攻撃の模擬テストや、普段からインシデントレスポンスに対する考え方を会議などでお互いに認識する必要があります。組織に浸透させるということは難しくて、『緊急なのか』『重要なのか』といったプライオリティ、それらをあうんの呼吸で伝えることは、やはり普段からのコミュニケーションが大切だと思います。ただ、こういう会社だからかもしれませんが、インシデントが起こって『対処すべき事柄がどんどん増えていくことが嫌だ』という空気を出す人がいなかったことは、幸いでした」(辻氏)

「僕がいたから、ではない」情報公開の流れ

SBTに辻氏がいるという事実は変わらない。しかし、「ほかの企業に辻さんはいませんよね?」という質問を投げかけた。

「『情報を出す』という意思決定をしたのは社長の阿多です。確かに僕が言わなかったら出なかった細かい情報はあるかもしれません。ですが、個人の誰かに依存するのではなく、組織として適切に情報を公開できるか。それが大切なんです」(辻氏)

今回の情報公開は、「自分たちが起こしてしまったことは、こういう公開の仕方がある」というケースにならなければならないと思ったと辻氏は振り返る。この事例が"テンプレート"としてさまざまな企業に活用されることはあるかもしれないが「この形でなければならないという押し付けになってほしくない」(辻氏)

辻氏が繰り返し説明したことは、経営陣と現場が一体となった対応だ。それに関連した印象的なエピソードが一つある。

経営陣を含めた最初の会議後、辻氏は阿多氏と喫煙室で一緒になったそうだ。普段はフランクに話しかけてくる阿多氏が、土日出勤して対応しようとしていた辻氏に対して「よろしくお願いします」と一礼したそうだ。現場と経営陣が一方通行にならず、共に解決へと歩みを進める。そういった機運をトップが自ら作る姿勢は学ぶところがあるだろう。

SBTの例で言えばCEOの阿多氏だが、一般企業においてはCIO(CISO)などがトップとして対処するケースが多いはずだ。一体感はもちろんのこと、迅速な意思決定と、拙速な対応にならないために現場の情報をしっかり吸い上げる体制の構築、そして何より「事後の対処」にフォーカスしていくことが大切であるはずだ。

この短文で言うは易く行うは難しといったところだろうが、100点満点ではないにせよ、それに近いことをSBTは行った。同社は8月中に最終報として、再発防止策の完了をアナウンスする予定だ。情報漏えいに対して感情的になるのも当然だが、冷静な分析・対処が次の漏えい抑止に繋がることも、忘れてはいけない。

渦中のファーウェイ、スマホ新製品も発売延期が相次ぐ

渦中のファーウェイ、スマホ新製品も発売延期が相次ぐ

2019.05.24

米国政府がファーウェイを輸出規制リストに追加した

ファーウェイ製品の発売延期を決定する事業者が続出

輸出規制は世界経済の混乱を招く事態に……

米国政府がファーウェイを輸出規制リストに追加したことで、米中の貿易摩擦が加速している。5月21日には国内向けにスマホ新製品の発表会を開催したものの、発売を延期する事業者が相次ぐ事態となっている。

ファーウェイはスマホ新製品を発表したが、販路の多くで発売延期に

スマホ世界シェア2位に躍り出るなど、破竹の勢いで成長してきたファーウェイだが、果たして打開策はあるのだろうか。

世界シェアは再び2位に、国内でも攻勢に

ファーウェイはスマホ世界シェアでアップルと2位争いを繰り広げている。年末商戦シーズンにはアップルが2位に返り咲いたものの、2019年第1四半期にはファーウェイが前年比50%増となる5900万台を出荷したことで、再び2位に戻る形になった。

新製品発表会に登壇したファーウェイ デバイス 日本・韓国リージョン プレジデントの呉波氏

スマホ市場が伸び悩む中で、なぜファーウェイは劇的な成長を遂げたのだろうか。2018年後半から米中貿易摩擦が報じられる中、買い控える動きもある一方で、世界的な露出の増加によって、製品を手に取ってみる人が増えたことが背景にあるとファーウェイは見ている。

国内でも順調に伸びてきた。依然としてiPhoneはシェアの半数近くを占めるものの、直近1年間で最も売れたAndroidスマホはファーウェイの「P20 lite」だという(BCN調べ)。コスパの良さが高く評価されているのが特徴だ。

2019年夏モデルでは、NTTドコモがフラグシップ「P30 Pro」を、KDDIは「P30 lite PREMIUM」の取り扱いを発表。MVNOやオープン市場には「P30」と「P30 lite」を投入するなど、あらゆるセグメントに向けて最新ラインアップを一挙投入する予定だった。

ベストセラーの後継モデルとして期待される「HUAWEI P30 lite」

だが、こうしたファーウェイの快進撃に待ったをかけたのが、米商務省が発表した輸出規制リストへの追加だ。

複数の企業が取引を停止、国内で発売延期も相次ぐ

米商務省が5月15日にファーウェイを輸出規制リストに追加したことで、米国の製品やサービスをファーウェイに対して輸出することが同日より規制された。米国製の半導体やソフトウェアなどを利用できないのは大きな痛手だ。

その後、重要なサービスにファーウェイ製品を用いる企業向けに90日の猶予期間が設けられたものの、これからどうなるかは不透明な状況だ。グーグルやクアルコムなど米国企業をはじめ、米国技術に大きく依存している英Armもファーウェイとの取引を停止すると報じられている。

国内では早いものでは5月24日からP30シリーズのスマホが販売される予定だったが、大手キャリアやMVNO、量販店などが相次いで発売延期や予約停止を発表。既存のファーウェイ製品については販売が続いている状況だ。

NTTドコモが今夏発売予定の「HUAWEI P30 Pro」は予約受付を停止
KDDIの「HUAWEI P30 lite PREMIUM」の発売を延期した

ファーウェイは米国に頼らず必要な部品を調達する構えも見せているが、ファーウェイ包囲網は世界的に広がりつつある。OSであるAndroidはオープンソース版を自由に利用できるものの、グーグルのサービスがなければ海外展開は困難だ。

独自のKirinプロセッサーを有しているとはいえ、Armのライセンスがなければ開発継続は不可能とみられる。スマホ以外にも基地局などの通信インフラでファーウェイのシェアは高く、輸出規制が長引けば世界的に混乱を招きそうだ。

関連記事
マツダが新型車「MAZDA3」を発売! ブランド戦略の成否を占うクルマに?

マツダが新型車「MAZDA3」を発売! ブランド戦略の成否を占うクルマに?

2019.05.24

「MAZDA3」はハッチバックとセダンの2タイプ

まるで歩いているような運転感覚を目指したと開発主査

狙うは中~高価格帯? プレミアムブランド化の試金石

マツダは「アクセラ」の後継モデルとなる新型車「MAZDA3」(マツダ・スリー)を発売した。ボディタイプはハッチバック(マツダは「ファストバック」と呼称)とセダンの2種類、価格は218万8,100円~362万1,400円。マツダにとっては新世代商品群の先陣を切るクルマであり、マツダブランドがプレミアム化路線に舵を切っていけるかどうかの試金石となる商品でもある。

マツダが発売した「MAZDA3」。左がセダン、右がファストバック

新世代商品群の口火を切る「MAZDA3」

マツダは2012年に発売したSUV「CX-5」を皮切りに、「新世代商品群」(マツダにとって“第6世代”にあたる商品群)のラインアップを拡充してきた。今回のMAZDA3は、同社にとって“第7世代”にあたる商品群の幕開けとなるクルマだ。このクルマから、次の「新世代商品群」が始まる。

開発主査を務めたマツダ 商品本部の別府耕太氏によれば、MAZDA3で目指したのは「マツダブランドを飛躍させる」こと。そのために、クルマとしての基本性能を「人の心が動くレベル」まで磨き上げ、「誰もが羨望するクルマ」に仕上げたとのことだ。MAZDA3は「徹底的な人間研究」に基づいて作ったクルマであり、乗れば「まるで自分の足で歩いているような」運転感覚を味わえるという。その人馬一体の感覚は、助手席と後部座席でも体感できるそうだ。

コックピットの設計では、誰もが適切なドライビングポジションを取ることができることにこだわったという

マツダの新世代車両構造技術「SKYACTIV-VEHICLE ARCHETECTURE」(スカイアクティブ ビークル アーキテクチャー)が相当に進化している様子だが、その違いは素人でも分かるくらい、劇的なものなのだろうか。この問いに別府氏は、「走り出して交差点を曲がる10mくらい、低速域のシンプルな動作でも動きの違いが分かってもらえると思う。動きを滑らかにした。その一言に尽きる」と自信ありげな様子。進化の度合いは「テレビがアナログからデジタルに変わったくらい」とのことだった。

「MAZDA3」の滑らかな運転感覚は少し走るだけで分かると別府開発主査は話す

MAZDA3が搭載するエンジンは4種類。ガソリンは直列4気筒直噴エンジンの1.5Lと2.0L、ディーゼルは直列4気筒クリーンディーゼルターボエンジンの1.8L、そして、マツダが独自技術で開発した新世代ガソリンエンジン「SKYACTIV-X」の2.0Lだ。このうち、1.5リッターガソリンエンジンはハッチバックのみの設定となる。

1.5Lガソリンエンジンと1.8Lディーゼルエンジンは5月24日販売開始。2.0Lガソリンエンジンは5月24日予約受注開始、7月下旬販売開始予定だ。「SKYACTIV-X」は7月に予約受注を開始し、10月に売り出す計画(画像はファストバック)

どのエンジンを選ぶかで当然、価格帯も違ってくる。1.5Lは218万8,100円~250万6,080円、2.0Lは247万円~271万9,200円、1.8Lディーゼルは274万円~315万1,200円、SKYACTIV-Xは314万円~362万1,400円だ。ちなみに、同じグレードだとセダンとハッチバックの間に価格差はないが、バーガンディー(赤)の内装が備わるハッチバックのみの特別なグレード「Burgundy Selection」は、同一グレード内で最も高い価格設定となる。上に記した価格帯は同グレードを含めたものだ。

1.5Lガソリンは最高出力111ps(6,000rpm)、最大トルク146Nm(3,500rpm)、2.0Lガソリンは同156ps(6,000rpm)/199Nm(4,000rpm)、1.8Lディーゼルは116ps(4,000rpm)/270Nm(2,600rpm)。「SKYACTIV-X」の数値はまだ判明していない(画像はセダン)

182万5,200円~331万200円だったアクセラと比べると、MAZDA3の価格設定からは高価格化の印象を受ける。この点について、MAZDA3のマーケティングを担当するマツダ 国内営業本部の齊藤圭介主幹は、「アクセラでは低~中価格帯の市場にアプローチしていたが、MAZDA3では中~高価格帯へとステップアップしたい」との考えを示した。

セダンは「凛」、ハッチバックは「艶」

デザイン面では、マツダが第6世代商品群で取り入れた「魂動」というコンセプトをさらに深化させた。チーフデザイナーを務めたマツダ デザイン本部の土田康剛氏は、「引き算の美学」で「日本の美意識を表現したい」と考えたという。

セダンでは「凛とした伸びやかさ」で「大人に似合う成熟した」クルマを志向。ハッチバックでは「色気のあるカタマリ」をコンセプトに据えた。「セダンはあえて枠にはめて、ファストバックでは枠を外した」というのが土田氏の表現だ。周囲の景色や光を映し出すMAZDA3のエクステリアは、マツダが2017年の東京モーターショーで発表したコンセプトカー「VISION COUPE」(ビジョンクーペ)で印象的だった「リフレクション」(反映)を体現しているようだ。

「MAZDA3」では全8色のエクステリアカラーが選べる。「ポリメタルグレーメタリック」(画像、2019年1月の東京オートサロンにて撮影)はファストバック専用の新色だ

MAZDA3のエクステリアはスタイリッシュだし、ハッチバックの方はクルマの“肩”の部分が張り出していないので、アクセラに比べ室内が狭くなっていそうに見える。そのあたりについて別府氏に聞いてみると、「人にとっての空間は、部位によって多少の加減はあるが、現行(アクセラ)に対してほぼ同等。視覚的に、室内空間が狭そうに感じたとすれば、それはマツダのデザイン手法により、スタイリッシュさ、前後の伸びやかさ、力強さといったようなものを実現できているためとご理解いただきたい」との回答だった。

荷室については、ファストバックは基本的に「アクセラ スポーツ」(アクセラのハッチバック)と同等で、セダンは容量が拡大している。セダンの方は、アクセラよりも80mm延びた全長の大部分をトランクルームの容量拡大に充てたそうだ。

2輪駆動(FF)のハッチバックで比べると、ボディサイズは「アクセラ」が全長4,470mm/全幅1,795mm/全高1,470mm/ホイールベース2,700mm、「MAZDA3」が同4,460mm/1,795mm/1,440mm/2,725mm。フロントヘッドルームなどの数値を見比べると、数ミリ単位でMAZDA3の方が狭くなっているようだが、開発主査によれば「ほぼ同等」だという

MAZDA3には他にも多くのトピックスがあるものの、全ては書ききれないので、あと2点ほど挙げておくと、まず、このクルマは同社で初めてのコネクティッドカーとなる。車両自体の通信機能でマツダのサーバーと交信することで、24時間体制のサポートが受けられるのだ。例えば「アドバイスコール」という機能では、車両トラブルの際の初期対応から修理まで、幅広いサポートを受けることが可能。コネクティッド機能には使用料がかかるが、最初の3年間は無料だ。

もうひとつ、マツダが強調していたのが「静粛性」と「サウンドシステム」、つまり、MAZDA3車内の「音」に関する部分だ。このクルマはアクセラに比べ、静粛性と「音の伝わる時間と方向のリニアさ」が大幅に向上している。スピーカーは低音域、中音域、高音域それぞれに用意し、最適な場所に配置した。

高音域スピーカーは人の耳に近いドア上部、中音域スピーカーは乗員の体の横、低音域スピーカーは車室外のカウルサイドというところに配置。マツダ社内には「MAZDA3」を「走るオーディオルーム」と呼ぶ人もいるとのこと

MAZDA3の販売目標は、全世界で年間35万台。日本では月間2,000台を目指す。ボディタイプの内訳はファストバックが7割、エンジン構成は1.5Lガソリンが10%、2.0Lガソリンが40%、1.8Lディーゼルが20%、SKYACTIV-Xが30%を想定する。ちなみに、アクセラは2018年(暦年)で約38万7,000台が売れていて、その内訳は最も多い中国が11万7,000台、その次が北米で9万1,000台だった。

グレードにもよるが、MAZDA3は同クラスの輸入車であるフォルクスワーゲン「ゴルフ」やメルセデス・ベンツ「Aクラス」などと肩を並べるか、あるいはそれらを凌駕しかねない価格となる。直列6気筒エンジンの復活を宣言するなど、プレミアム化路線に舵を切ろうとしているマツダとすれば、ゴルフやAクラスなどの市場にMAZDA3で乗り込みたいところだろう。一方、1.5Lのガソリンエンジンでは、若年層に訴求できるかどうかもポイントとなりそうだ。

関連記事