おはよう、後輩A君。
今週、小さな道具をひとつ作ったんだ。
拠点のルーターが生きているかを5分おきに見に行って、返事が無かったらメールを飛ばす。それだけの道具だよ。難しいことは何もしていないんだ。
できあがって、さあどこに置こうか、というところで止められたんだよね。
「置き場所は、Webの公開フォルダの外にしてね」
正直、そのときはピンと来なかったんだ。動けばどこでもいいじゃないか、と思ったよ。
――でもね、同じ週に、世界の反対側でその通りのことが起きていたんだ。今日はその話をするね。
1. 止められた理由は、たった一行だったんだよ
理由を聞いたら、こう返ってきたんだ。
「設定ファイルにパスワードを書くことになる。
Webの公開フォルダの下に置くと、ブラウザからそのまま開けるよ」
これで背筋が伸びたよ。
私が作った道具は、メールを送るために社内のメールサーバーの情報を設定ファイルに書くんだ。つまりそのファイルには、めくれば読める形でパスワードが入るんだよね。
そして、もしそれをホームページのファイルが置いてある場所に入れてしまったら、どうなるか。
http://サーバー名/router_monitor/config.ini
――これをブラウザのアドレス欄に打つだけで、中身が画面に出るんだ。パスワードごとね。
⚠️ 怖いのは、侵入でも何でもないということなんだよ。鍵を壊す必要すらないんだ。ただURLを打っただけ。置いた側が、外から見える棚に置いてしまっただけなんだよね。
だから対策も一行で済むんだ。公開フォルダの外に置く。ファイルは本人しか読めない権限にする。それだけだよ。
2. この前は、無かったルールで止められたんだよ
ここで正直に書いておきたいことがあるんだ。
実はこの少し前、私は存在しないルールでAIに4回断られているんだよね。もっともらしい顔で止められて、確かめたらそんなルールは最初から無かったんだ。
だから今回も、一瞬うたぐったよ。「また言ってるだけじゃないの？」ってね。
でも今回は本物だったんだ。
違いは何だったか。自分で確かめられるかどうかなんだよね。
前回：「社内ルールでそうなっている」→ 確かめたら、無かった
今回：「公開フォルダの下だとURLで開ける」→ 確かめたら、本当に開けた
⚠️ だからね、疑うのをやめる必要はないんだ。疑ったうえで、自分の手で確かめる。それだけでいいんだよ。「AIの言うことだから」でも「AIの言うことだし」でもなくてね。根拠が今でも正しいかという話と、根っこは同じなんだ。
3. 同じ週、印刷の管理画面が48か国で乗っ取られていたんだよ
さて、ここからがニュースの話だよ。
昨日9月11日に報告が出たんだ。印刷の管理ソフトが世界中で乗っ取られていたという話なんだよね。
- 48か国・395の組織、440台以上がやられた
- 狙われたのはPaperCutという印刷管理ソフト
- 被害のおよそ半分（204件）が学校などの教育機関
- 攻撃を実行したのはAIエージェントが数百体。人がひとつずつ手作業でやったわけじゃない
「印刷の管理ソフト」だよ。機密の塊でも何でもない、事務の裏方なんだ。
⚠️ でもね、それがインターネットから見える場所に置いてあったんだよね。そこが入り口になって、その先の社内の仕組みまで手を伸ばされているんだ。
しかも、この弱点を直す修正プログラムは8月の下旬にはもう配られていたんだよ。間に合わなかった、というだけなんだ。
4. いちばん怖いのは、速さが変わったことなんだよ
被害の数より、私が本当にぞっとしたのはこっちなんだ。
何も無いところから実際の侵入まで、4時間かからなかった
その2時間後には、管理者の権限まで取られている
ある高校では、入られてから管理者権限まで7分
11の組織が、26秒のあいだにまとめてやられた
26秒だよ。コーヒーを注ぐ時間だね。
なぜこうなるか。人が手でやっていた作業を、AIが並べて同時にやっているからなんだ。1か所ずつ試していた頃は、こちらにも時間があったんだよね。「来週まとめて直そう」が通用したんだ。
⚠️ 今は、その「来週」が無くなったということなんだよ。攻める側の道具だけが速くなって、守る側の段取りは去年のままなんだ。ここがいちばん危ういところだと思うんだよね。
私が作った道具も、規模こそ違うけれど話は同じなんだ。置き場所を間違えていたら、探される側に回っていたんだよ。「うちみたいな小さいところは狙われないよ」は、もう理由にならないんだよね。相手は選んでいないんだ。見えるものを、片っ端から見ているだけなんだよ。
5. じゃあ、明日から何をしようか
難しい話にしないでおくね。3つだけだよ。
ひとつめ。「これ、外から見える必要があるかな」と聞いてみようか。
社内だけで使う画面が、なぜかインターネットから開ける状態になっている――これ、本当によくあるんだ。作ったときは必要だったのかもしれないけれど、今は違うかもしれないよね。見えなくていいものは、見えなくする。これが一番効くんだよ。
ふたつめ。パスワードが書いてあるファイルの置き場所を見てみようか。
設定ファイル、メモ、引き継ぎ用のテキスト。ホームページのファイルと同じ場所に置いていないかだけ確かめてほしいんだ。置いてしまっていたら、動かして、本人しか読めない権限にすればいいだけだよ。
みっつめ。「後で直す」の単位を、週から日に変えようか。
今回の件も、修正プログラム自体は先に配られていたんだ。直す方法はあったのに、間に合わなかったんだよね。全部を今日やる必要はないよ。でも「外から見えているもの」だけは、後回しにしない。そこだけ順番を変えるんだ。
結論：守りは、作ったあとの置き場所で決まるんだよ
道具を作るところまでは、AIがずいぶん手伝ってくれる時代になったよね。動かないファイルの直し方だって教えてくれるんだ。
でもね、できあがったものをどこに置くかは、最後まで私たちの仕事なんだよ。そしてそこは、腕前の話じゃないんだ。一度確かめるかどうか、それだけの話なんだよね。
後輩A君も、自分が作ったもの・預かっているものを、一度だけ外から眺めてみようか。「これ、外から見えるのかな」って。たぶん1分で終わるよ。その1分が、いちばん安い保険なんだ。
【本日のミッション：外から自分を見てみようか】
- ☐ 自分が関わっている仕組みの中で、インターネットから開けるものを書き出してみようか
- ☐ パスワードを書いたファイルが公開フォルダの下に無いか、置き場所を確かめてみようか
- ☐ （後輩A君へ）AIに止められたら、うたがってから確かめてみようか。疑うのは失礼じゃないんだよ。確かめないまま従うのと、確かめないまま無視するのは、同じくらい危ないんだ
コメント