北朝鮮の外貨収入のほぼ半分じゃなくて、ほぼ８０％じゃないの！！！ 中国もやっているんじゃないの・・・ 北朝鮮ってミサイルをドンドンと打っている盗人大金持ちの国なのに、ミサイルを打ち上げたという大大的ニュースが飛び交った後に必ず餓死者が沢山出ているというニュースがお決まりのように出てくる。 本当かいな？ 北朝鮮の国民が覚せい剤？麻薬？中毒者がいっぱいいるなどのニュースも出てくるけど、これも本当かいな・・・ 日本だって違法薬物中毒者は大勢いると思う。 金正恩の妹の金与正も覚せい剤？麻薬中毒という記事があったけど、これも本当かいな？ 北朝鮮は暗号資産を盗みまくっているという記事は何度も出ている、これは事実だ。 盗人大金持ちの国なのだ。 日本は盗まれないように、もっと知恵を絞れ！！！ 休日ばかり作って、残業は駄目だとかそういう事ばかり言っているから、国民がバカになるんだわ～～～
北朝鮮の外貨収入のほぼ半分がサイバー攻撃によって得たもの？ 深刻化するサイバー攻撃の被害を「隠蔽する」日本の企業文化を刷新する一手
攻撃があった事実を隠蔽したがる企業風土
サイバーネットワークが社会のいたるところに普及して経済・社会活動に欠かせないインフラとなる中で、中国やロシア、北朝鮮といった国々が他の国の機密情報や金銭の窃取と、経済・社会活動を麻痺させることを狙って、多くのハッカー(サイバー攻撃)集団を養っており、内外で、すっかりサイバー攻撃が常態化してしまった。 【マンガ】「長者番付１位」になった「会社員」の「スゴすぎる投資術」の全容 ⼿⼝も日進月歩で、我々にとって、潜在的なものも含めて、サイバー攻撃の脅威は計り知れないものとなっている。 それにもかかわらず、日本の大企業は、依然として、サイバー攻撃を受けたことをある種の恥と見なして攻撃があった事実を隠蔽したがる企業風土と決別できていないと懸念する向きは多い。結果として、攻撃の頻度や手口に関する情報の社会全体としての共有が遅れて、国全体として予防と対処の能力がなかなか向上しないというのである。 こうした中で、本コラムで今回注目したいのが、米証券取引委員会(SEC)が昨年導入を決定して施行した情報開示(ディスクロージャー)ルールの刷新だ。被害には至らなかったケースであっても、重要であればインシデントのタイムリーディスクロージャー(機動的な情報開示)を義務付けるという内容である。日本でも同じ趣旨のルールを設ければ、サイバーセキュリティの能力向上の足枷となっていた社会・企業風土の早期刷新が期待できるのではないだろうか。 振り返れば、サイバー攻撃は、凄まじい勢いでの常態化してきた。 最初に、国内で幅広く感心を集めたのは、2000年1月、官公庁のホームページが攻撃を受けたケースだろうか。当時の科学技術庁を始め、複数の中央省庁のホームページが改ざんされたケースだった。 海外でも、2010年代を通じて、ショッキングなサイバー攻撃が後を絶たなかった。 2010年1月に発覚したのは、オーロラ作戦だ。米マイクロソフト社のインターネット閲覧ソフト「Internet Explorer」の脆弱性を突いて、ヤフー、アドビ、ダウ・ケミカル、モルガン・スタンレーなど30以上の大企業が標的とされ、様々な形で秘匿すべき情報が搾取された産業スパイ事件と位置付けられている。
選挙に関与するサイバー攻撃
この事件では、米グーグル社が先頭を切って、自社ネットワークが攻撃されたことのほか、人権活動家のGmailアカウントにアクセスがあったこと、中国が支援するサイバー攻撃組織Elderwoodによる攻撃であることなどを明らかにした。攻撃から4か月後、グーグルが中国での事業展開を停止したことも有名だ。 同年11月に発覚したマルウェア「スタクスネット」の攻撃対象は、イランのウラン濃縮施設だ。遠⼼分離機を誤作動させて約1000台を破壊した。 このスタクスネットについては、イランの核開発に対する妨害行為に使われたことから、西側メディアとしては異例の報道ながら、米紙『ニューヨークタイムズ』が2012年6月の報道で、米国とイスラエルの2カ国が作成したと決めつけた。両国の否定にもかかわらず、疑いは晴れていない。 選挙への関与を試みたとされるケースも少なくない。中でも世界を揺るがせたのは、2016年11月の⽶国の⼤統領選挙に対するロシア企業「インターネット・リサーチ・エージェンシー」など3社のケースだ。トランプ前大統領の共謀は実証されず、大統領職の弾劾という事態には至らなかったものの、⽶司法省は2018年2月、前述の3社やロシア人13人が関与したとして告発した。米国人を装い、ハッキングによって窃取したメールやSNSを使って、民主党のヒラリー・クリントン氏を中傷する情報を拡散、トランプ前大統領が選挙戦で有利になるように仕向けたとされたのだ。 選挙以外では、金銭の搾取を目論んだケースが、ロシア政府の関与と指摘されるサイバー攻撃では目立つ。「ダークサイド」が2021年5⽉に⽶大手企業コロニアル・パイプラインを攻撃した例や、「REvil」が同月、米国で加工工場網を展開する世界最⼤の⾷⾁業者である、ブラジルのJBSを攻撃したケースが、そうした例だ。いずれもランサムウエアが使われ、ビットコインで巨額の“⾝代⾦”が支払われた。 北朝鮮絡みのサイバー攻撃の目的も金銭の奪取目的が多いとされている。国連安全保障理事会が核開発などに対する制裁の効果を検証したとして、今年3月に公表した報告書によると、北朝鮮の外貨収入のほぼ半分がサイバー攻撃によって得たものだというのだ。 今年1月までの7カ月間に、暗号資産(仮想通貨)関連企業が合計で、約30億ドル(4500億円)の被害を蒙った疑いがある一方で、大量破壊兵器の開発費用の約40％がサイバー攻撃から得た資金であると指摘した。最近では、防衛関連企業が攻撃対象になり、機微な技術情報が搾取される例も増えているとしている。 話が前後するが、サイバー攻撃の歴史でおそらく被害者が最多に達したのは、世界の約150カ国の政府機関、医療機関、民間企業が感染被害を受けたとされる2017年5月の ランサムウエア「WannaCry」を使ったケースだ。 あの攻撃では、日本も大きな被害を受けた。ホンダは、世界の複数拠点がWannaCryに感染、生産を一時停止させざるを得なかったし、日立製作所や東日本旅客鉄道でも感染が報告された。 2022年2月24日にロシア軍の侵攻で始まったウクライナの戦争は、サイバー攻撃が新たな時代に入った転換点でもある。 第1に、リアルの世界で戦端が開かれる1、2カ月前から、ロシア関連のウクライナに対するサイバー攻撃が活発化。戦争状態と平時の区別が付かなくなった。 第2は、開戦後、中国系の「スカラベ」をはじめ、ベラルーシ、北朝鮮、イランなどがバックに付いたサイバー攻撃集団によるウクライナの政府・軍機関へのサイバー攻撃が繰り返されているとされている。
病院が機能不全になるケースも
リアルの戦争とは別に、サイバー空間では“戦争状態”が日常になり、参戦国もリアルの戦争より遥かに多いということになる。 さらに、トヨタ自動車が2022年3月に終日、国内の全14 工場 28 ラインの稼働停止を迫られたケースや大阪急性期・総合医療センターが2022年10月から2カ月以上にわたって通常診療ができない状況に陥ったケース、そして名古屋港統一ターミナルシステムが翌2023年7月にほぼ約 3 日間にわたってコンテナの搬入・搬出作業が停止したケースに共通する問題も指摘しておきたい。 これらが、いずれもランサムウエアによる攻撃で、端緒がトヨタと大阪の病院の場合、サプライチェーン上の外部組織、大阪の病院と名古屋港がネットワーク機器の脆弱性にあったといった共通点がそれぞれ、指摘されているからである。 3つのサイバー攻撃は、早い段階に、幅広く、攻撃の端緒や手口、対策などの情報を、経済社会全体が共有することの重要性を改めて裏付けたと見なさざるを得ない。 もう一つ、国立研究開発法人である情報通信研究機構(NICT)のインシデント分析センター 「NICTER」が収集しているサイバー攻撃関連通信の増加ぶりも紹介しておこう。2023年の1年間に、NICTERのダークネット観測網(約29万IPアドレス)が観測したサイバー攻撃関連通信は6197億パケット。これを1つのIPアドレスが観測したパケット数に換算すると、約226万パケットに達した。 この水準は、9年前の2014年の同様の観測の11.5万パケットのおよそ20倍だ。つまり、インターネット上では、サイバー攻撃やサイバー攻撃のための情報収集を狙った探索活動が10年を待たずに20倍に急増したというのである。 ちなみに、前年(2022年)の同じ観測で探査されたパケット数は183万パケットで、200万パケット越えは初めてのことだ。言い換えれば、サイバー攻撃の脅威はとどまるところを知らず、増大し続けているのである。 縷々見てきたように、実際の攻撃で甚大な被害を受ける企業や病院、組織が後を絶たないうえ、サイバー攻撃やその探査活動が増え続ける中で、我々は頻度や端緒、手口、対策などの情報を共有し、予防と対応能力の強化を急ぐ必要がある。 そうした中で、冒頭でも指摘したが、注目したいのが、米SECの登録企業などを対象にした新たな情報開示ルールだ。 新ルール設置の背景となったのは、本稿でも指摘したロシアや中国、北朝鮮による米企業や米金融機関に対するサイバー攻撃の増加だ。特に、ロシアのウクライナ侵攻を受けて、米バイデン政権が音頭を取る形で西側としてロシアに対して厳しい経済制裁を科していることから、サイバー空間を利用した報復攻撃のリスクが高まっているとの問題意識もある。置かれている状況は、日米とも同じということだ。 SECによって、具体的に新たな開示義務が課された情報は、好評のタイミングと内容の面で2種類に大別される。 ひとつは、年次報告書で、日頃から、投資家向けに、潜在的なリスクの程度や種類、会社としての管理方針、体制、専門知識を持つ取締役や人員の陣容などについて開示し、メンバーの有無についても記載を求める、というものだ。 もうひとつは、被害には至らなくても、重要(materiality)とみなすべきインシデントがあった場合は、重要と判断してから4 営業日以内に、その重要性(インシデントの性質、範囲、タイミング、合理的に予想される影響)などを、「フォーム 8-K」と呼ばれる臨時の情報開示の書式に沿って提出するよう義務付けた点である。 この重要性の判断は、各社の独自基準ではなく、連邦証券法や判例の基準に従い、「合理的な投資家」の目線で判断するよう求めている。
日本には情報開示義務がない
例外としては、米司法長官が米国の安全保障や公共の安全に鑑みて、迅速な開示が却って重大なリスクをもたらすと判断した場合に限って、60日を限度に開示を遅らせることができるとした。 追加の決定や情報取得があった場合は、追加の情報を提出して最初の開示内容を修正することも義務付けた。 この新ルールを受けて、米企業の間では、必ずしも「重要なインシデント」と評価する段階に至らなくても、予防的にインシデントがあった段階で開示する例が出ているようだ。 例えば、米プレデンシャル生命保険の今年2月12日付の届け出には、「2月4日から、脅威アクターが当社のシステムに無断でアクセスしたことを検出」し、「外部の専門家の支援を受け、直ちに対応プロセスを起動。インシデントの調査、封じ込め、および修復を開始した」としたうえで、「この報告書の日付現在、サイバー犯罪グループであると疑われる脅威アクターが、特定の情報技術システムから当社の管理およびユーザーデータにアクセスし、従業員および契約社員に関連する当社ユーザーアカウントのごく一部にアクセスしたと考えている」などと開示した。 ただ「追加の情報やシステムにアクセスしたかどうか、インシデントの影響を判断するために、インシデントの範囲を引き続き調査してい」る段階であり、これまでのところ「顧客またはクライアントのデータを持ち去った証拠はない」「法執行機関に報告し、規制当局に通知してい」るものの、「報告書の日付現在、インシデントは当社の業務に重大な影響を与えておらず、当社はインシデントが当社の財政状態または業績に重大な影響を及ぼす可能性があるとは判断していない」と明記している、といった具合なのである。 一方、日本では、上場企業などに対し、サイバー攻撃の重要なインシデントのタイムリーディスクロージャーを義務付ける規則は存在しない。このため、業績への大きな影響が明らかになるなど、インサイダー取引規制関連の情報開示が必要になるまでは、サイバー攻撃に関する情報開示義務は生じないと考えられる。 結果として、一般的な経営のリスクの開示の一環として、サイバーセキュリティのリスクを有価証券報告書で開示するにとどめている企業が多い。 しかし、これでは日本全体がサイバー攻撃の予防や対策を迅速に強化するには不十分と言わざるを得ない。 冒頭で述べたように、日本企業はもともと、サイバー攻撃を受けたことを恥ずべきこととみなし、攻撃を受けた事実を隠蔽したがる傾向が強かった。 業を煮やした経済官庁がインフラ産業を中心にした情報共有の確立に取り組んできた経緯もある。 サイバー攻撃の動向は、こうした各官庁の活動を集約する形で、内閣官房のサイバーセキュリティ戦略本部に集められ、日本全体の対応策が講じられることになっている。 が、政府内も縦割り行政の風土が強く、サイバーセキュリティ戦略本部内の連携も決して円滑とは言い切れない。 こうした状況を打開するには、横串を刺す形で、米SECのようなルールを構築することが有効だと考えられるのである。
