AI で欠陥探しが加速 — 銀行も止めたサイトの穴、委託先まで点検を

何が起きたの? — 銀行が自ら止めた

Web サイトを動かすプログラム言語(PHP)に、重大な欠陥が 2 件見つかりました。2 つを組み合わせた攻撃は「PHP2shell」と呼ばれています。悪用されると、外から不正なプログラムを動かされるおそれがあります。

PHP の開発元は 10 月 21 日に修正版を出しました。各行の対応は次のとおりです。

auじぶん銀行では、相続の手続き、15 歳未満の口座開設、外貨建て送金の受付などのフォームは、再開の時期が決まっていない状態でした。

全国銀行協会は当時、銀行どうしの決済への影響は確認していないと説明しました。片山さつき金融担当相は 10 月 23 日の会見で、多くの金融機関が予防のために止め、修正は比較的円滑に進んだとの見方を示しています。

なぜ急いで止めたの? — 攻撃はもう始まっていた

米国の政府機関(CISA)は、この欠陥を「実際に悪用された欠陥の一覧(KEV)」に載せました。危ないかもしれない、ではなく、攻撃が確認されたということです。情報処理推進機構(IPA)も 10 月 27 日に注意喚起を更新しました。

AWS は、修正版が出る 4 日前の 10 月 17 日に、おとりのサーバーで悪用の試みを見ていたと公表しています。修正を当てるだけでなく、それ以前に入り込まれていないかの確認も要ります。

背景には AI もあります。米 TechCrunch の番組で、欠陥の修正に関わった Wiz の幹部らは、AI で欠陥の発見と悪用が速まっており、今回は始まりにすぎないという見方を示しました。PHP は Web サイトのおよそ 70% を支えているとされます。

会社の備えはどう変わるの?

金融庁と日本銀行は 5 月 22 日、AI による欠陥の発見と悪用が速まっていることを受け、9 項目の対応を金融機関に求めていました。今回と重なるのは次の点です。

9 項目の 8 番目は、攻撃で止まる場合だけでなく、自ら止める場合も想定しています。修正版があっても作業できる人がいなければ、危ない状態が続くからです。

金融庁は 10 月 9 日にも、委託先を含めた管理の点検を求めました。管理する範囲は自社のシステムだけではない、という考え方です。

SYNCON の視点 — 止める判断を誰が持つか

記事は、深刻だからといってすべてを一律に止めることはできない、と指摘しています。安全の担当が悪用の可能性と範囲を見て、業務の担当がお客様への影響を整理し、経営陣が両方を比べて決める流れです。手順や責任者があいまいだと、必要以上に止めてしまうおそれがあります。

銀行でなくても同じです。会社のサイト、採用の応募フォーム、ネットショップの多くは委託先が動かしています。「どこで、誰が、何を動かしているか」の一覧が無ければ、修正が済んだかどうかも答えられません。

決めておきたいのは 3 つです。委託先とサイトの一覧を誰が持つか。緊急時の作業を契約に入れるか。止める判断を誰に任せるか。そして今回の対応にかかった時間を振り返り、次の備えに生かすことです。

要点まとめ

• PHP の欠陥で、静岡銀行や三菱 UFJ 銀行が一部のサービスを予防のために停止
• auじぶん銀行は自社の修正後も、委託先の作業で一部の問い合わせフォームが止まった
• 米国の政府機関が「実際に悪用された欠陥」に登録。修正版の 4 日前から攻撃の試みがあった
• 金融庁と日銀は AI による欠陥探しの加速を受け、自ら止める場合の備えを含む 9 項目を要請
• 委託先の一覧、緊急時の契約、止める判断の責任者を先に決めておくことが要る