PHP脆弱性問題『Cyber Attack／日常生活への攻撃』Cyber Incident Management for PHP Vulnerability

第四話 塞いでも、終わらない

第四話　塞いでも、終わらない

　午前七時四十分。

　佐伯の携帯電話が鳴った。

　出勤途中の電車を降りたところだった。

「佐伯です」

『昨日、確認を依頼したシステムで、新しいアクセスが検出されました』

　調査チームの上司だった。

「攻撃の可能性がありますか」

『まだ断定できない。ただ、通常とは異なる動きが出ている。至急、確認してほしい』

「わかりました。すぐ向かいます」

　通話を切った佐伯は、駅の改札を抜ける人々の流れを見た。

　誰もがスマートフォンを手にしている。

　ニュースを読む人。

　電子決済の画面を確認する人。

　メッセージを送りながら歩く人。

　その大半は、ネットワークの向こう側で何が起きているかなど、考えてもいないだろう。

　それは、当たり前のことだった。

　電気がつくたびに発電所の状態を確認する人はいない。蛇口をひねるたびに浄水場の運転状況を調べる人もいない。

　社会を支える仕組みは、普段、意識しなくて済むからこそ便利なのだ。

　しかし、その仕組みが止まったとき、人々は初めて、それが自分の生活とどれほど深く結びついていたかを知る。

　　　　　＊

　午前八時十五分。

　調査チームの会議室には、すでに関係者が集まっていた。

　モニターには、アクセス記録とシステムの稼働状況が表示されている。

「この時間帯に、通常とは異なるリクエストが集中しています」

　若手の調査担当者が説明した。

「公開されている攻撃プログラムとの関連は？」

　佐伯が尋ねた。

「現時点では、同じものだと断定できません。リクエストの特徴には、調査すべき点があります。ただ、似た挙動があるだけで、同一のプログラムを使ったとは言い切れません」

「よし。アクセス元の情報だけで犯人を決めつけないこと。記録を保全して、対象システムの担当者にも確認を取ろう」

　上司が指示した。

　佐伯は、別の画面を開いた。

　前日に確認していたシステムでは、必要な対策が一部実施されていた。

　しかし、今回のアクセスが、その対策を回避したものなのか。別の経路から到達したものなのか。それとも、攻撃とは異なる原因によるものなのか。

　判断するには、まだ情報が足りなかった。

「対策したのに、また攻撃されたんでしょうか」

　若手がつぶやいた。

「そうかもしれない。だが、そうでないかもしれない」

　佐伯は答えた。

「対策をした事実と、対策が有効に働いていることを確認できた事実は、分けて考えないといけない」

「では、何をもって安全だと判断するんですか」

「対象の脆弱性が修正されていること。設定が意図したとおりになっていること。不審な動きがないか、記録を確認できること。ほかにも、システムの構成や、実施した対策によって確認すべき点は違う」

　佐伯は一度、言葉を切った。

「そして、確認できた範囲を明確にする。すべての危険がなくなったと、根拠もなく言わないことだ」

　　　　　＊

　午前十時。

　別のシステムから、対応状況について報告が入った。

　ソフトウェアの更新は完了していた。

　しかし、更新後の動作確認が終わっていない。外部サービスとの接続についても、追加の検証が必要だった。

「更新が済んだなら、再開できるんじゃないですか」

　会議に参加していた担当者が尋ねた。

「更新できたことは、前進です」

　佐伯は慎重に答えた。

「ただ、サービスを再開するには、必要な確認を終える必要があります。更新によって別の機能に影響が出ていないか。関連するシステムとの接続は正常か。今回の脅威に対して必要な対策が実施されているか。それを確かめなければなりません」

「いつまでかかりますか」

「現時点では、確かな時間をお伝えできません」

　担当者の表情が曇った。

　それでも、佐伯は約束できなかった。

　調査が予定どおり進むとは限らない。新しい問題が見つかれば、確認の範囲も広がる。

　安全を確かめるための作業を急ぎすぎて、確認そのものを不十分にしてしまえば、本末転倒だった。

　上司が口を開いた。

「サービスを止めることにも、再開することにも、どちらにもリスクがある。止めれば利用者に影響が出る。確認が不十分なまま再開すれば、被害を広げる可能性がある。判断には、技術的な情報と、事業への影響の両方が必要だ」

　誰も、すぐには答えなかった。

　会議室のモニターには、複数のシステムの状態が並んでいた。

　対策を進めているもの。

　検証を続けているもの。

　影響の有無を確認できていないもの。

　すでに停止しているもの。

　同じ問題に直面していても、すべてを同じ手順で処理できるわけではなかった。

　　　　　＊

　正午。

　佐伯は、会議室の隅で昼食を取っていた。

　机の上には、食べかけの弁当と、開いたままのノートパソコンがある。

　画面には、調査の進捗をまとめた表が表示されていた。

　そのとき、若手がペットボトルを手に近づいてきた。

「佐伯さん。これ、いつまで続くんでしょうね」

「何が？」

「攻撃です。ひとつずつ調べて、対策して、確認して。それでも、また何か起きるかもしれない」

　佐伯は、箸を置いた。

「いつまで続くかは、まだわからない」

「犯人がわかれば、終わるんでしょうか」

「犯人がわかったとしても、攻撃に使われた仕組みが残っているかもしれない。ほかの人間が同じプログラムを使う可能性もある。すでに侵入されているシステムがあれば、その確認も必要になる」

「じゃあ、犯人を捕まえても……」

「それだけで、すべての問題が解決するわけじゃない」

　若手は黙った。

　佐伯は、画面に視線を戻した。

　公開されたプログラムが削除されたとしても、それを保存した人間の手元から消えるとは限らない。

　修正プログラムが提供されたとしても、すべての管理者がすぐに適用できるとは限らない。

　対策が実施されたとしても、別の脆弱性や、別の経路が見つかる可能性はある。

　ひとつの入口を塞ぐことと、建物全体の安全を確認することは違う。

　しかも、建物がいくつもあり、それぞれ管理者が違うのなら、確認作業はさらに複雑になる。

「だから、ひとつずつやるしかない」

　佐伯は言った。

「確認できたことを積み上げていく。それしかないんだ」

　　　　　＊

　午後二時二十分。

　調査チームの端末に、新たな通知が表示された。

　別の組織が運営するウェブサービスで、不審なアクセスが確認されたという。

　そのサービスが、今回の攻撃と関係しているかどうかは、まだわからない。

　だが、関係者は記録の保全と影響の確認を始めていた。

「またですか……」

　若手が画面を見つめた。

　上司は、すぐに指示を出した。

「これまでの調査と混同しないように。別の事象として記録する。共通点が見つかれば、その時点で関連を検討しよう」

「はい」

「佐伯、こちらの確認を頼む」

「わかりました」

　佐伯は、新しい調査資料を開いた。

　先ほどまで調べていたシステムも、まだ結論は出ていない。

　そこに、新しい調査対象が加わった。

　調査の対象が増えるたび、確認すべき情報も増えていく。技術者の人数も、使える時間も、無限ではない。

　それでも、記録を確認しなければならない。

　何が起きたのか。

　どこまで影響が及んでいるのか。

　どの対策が必要なのか。

　わからないことを、わからないままにしておくわけにはいかなかった。

　　　　　＊

　午後四時。

　停止中のサービスを運営する企業から、利用者向けのお知らせについて相談が届いた。

　画面に表示される文章は、短いものだった。

『現在、システムの安全性を確認するため、サービスを停止しております。復旧時期は未定です』

「これでいいんでしょうか」

　相談を受けた担当者が尋ねた。

「事実と違うことを書くわけにはいきません」

　佐伯は答えた。

「復旧時期がわからないなら、わからないと伝える必要があります。ただ、利用者が次に何をすればいいのか、代わりの手段があるのか。案内できることがあれば、それも伝えたほうがいいと思います」

「でも、いつまで停止するかわからないのに、何度も同じ案内を出すことになります」

「新しい情報がなくても、状況が変わっていないことを知らせる意味はあります。利用者は、何も案内がなければ、忘れられているのか、対応が止まっているのか、それすらわかりませんから」

　担当者は、うなずいた。

　復旧の約束はできない。

　しかし、説明する責任までなくなるわけではなかった。

　　　　　＊

　午後六時。

　佐伯は、調査結果をまとめていた。

　対策が進んだシステムはある。

　影響範囲が少しずつ明らかになったものもある。

　だが、まだ判断できない事象が残っていた。新たなアクセスの調査も続いている。

　今日一日で、何も進まなかったわけではない。

　それでも、事件が終息に向かっていると報告できる段階にはなかった。

　上司が、佐伯の机の横で足を止めた。

「今日の状況は？」

「確認できたことは増えています。ただ、全体の安全性を判断するには、まだ情報が足りません」

「復旧のめどは？」

「立てられません」

　上司は、短く息を吐いた。

「わかった。確認できた事実と、未確認の事項を分けて報告しよう」

　佐伯は、画面に目を戻した。

　対策を実施する。

　結果を確認する。

　新しい事象を調べる。

　必要に応じて、対策を見直す。

　その繰り返しだった。

　そして、その繰り返しが続く間にも、利用者の生活は待ってくれない。

　　　　　＊

　午後八時。

　仕事帰りの会社員が、スマートフォンでポイントサービスを開いた。

　画面には、昨日と同じ表示が出ていた。

『ただいまメンテナンス中です』

　会社員は、しばらく画面を見つめた。

　昼休みに使うつもりだったクーポンも、まだ表示できない。

　明日は使えるだろうか。

　今度こそ復旧するだろうか。

　答えはなかった。

　会社員は、スマートフォンをポケットにしまった。

　その頃、佐伯の端末には、新しいアクセス記録が届いていた。

　攻撃によるものなのか、別の原因なのか。

　まだ、わからない。

　佐伯は、記録を保存し、調査対象として登録した。

　ひとつの対策が終わっても、すべてが終わるわけではない。

　ひとつのシステムを調べ終えても、別のシステムが待っている。

　そして、攻撃が続いている可能性がある限り、復旧を急ぐだけでは済まされなかった。

　塞いでも、終わらない。

　その現実が、少しずつ、調査チーム全員の実感になり始めていた。