リーテックス株式会社特別企画（河原淳平顧問インタビュー）
Part01サイバー空間の公共化とサイバー犯罪の急増

新型コロナウイルスの世界的な蔓延により、企業活動のデジタル化が進んだ。便利な一方で、詐欺が高度化しているのもまた事実だ。サイバー犯罪、ランサムウェアなどサイバー空間に蔓延る問題について、警察庁で初代サイバー警察局長を務めた河原淳平氏に話を聞く。なお、河原氏は現在、リーテックス株式会社で特別顧問を務めている。

OPENING

橘:　新型コロナウイルスの世界的な蔓延によって、企業活動のデジタル化が進みました。いつでも、どこでもつながれるという便利さの一方で、詐欺も高度化していると言われています。今回は「キャッシュレス社会の安全・安心の確保」をテーマに、警察庁の初代サイバー警察局長を務めた河原淳平さんにお話を伺おうと思います。河原さまよろしくお願いいたします。

サイバー警察局について

橘:　初代サイバー警察局長を務めになられたということですが、何年前くらいに？
河原:　2022年の4月になります。
橘:　サイバー警察局というのが、その時にできたということですか？

河原:　そうですね。（その時に）初めてサイバーの専門の局ができたということになります。
橘:　専門の局を作らなければならないほど、サイバー犯罪が増えてきたということなのでしょうか。
河原:　端的に言うと、そうですね。デジタル化の進展などです。スマホやキャッシュレス決済などが国民生活に不可欠な社会基盤になってきたので、そういった点でも、それを舞台にした犯罪や新しい技術やサービスを悪用した犯罪が非常に増えてきました。

サイバー犯罪、特にランサムウェアについて

橘:　今後AIで犯罪も高度化してくると思いますが、サイバー犯罪の中で特に増加しているものは？
河原:　まず組織にとって、一番大きな脅威となっているのがランサムウェアによる攻撃です。

橘:　何かに感染してデータを取られてしまうとか、お金を要求されるというものですね。
河原　:組織のシステムに侵入して、重要なファイルや情報が入ったファイルを暗号化して、それを元に戻してほしければお金を払わなければいけないと。ファイルの復元と引き換えに金銭を要求するような手口のマルウェアのことを（こう）呼んでいます。

橘:　これはお金を払っても復元される保証はないですよね。
河原:　多くの組織がお金を払っても元に戻らないなど、重要な情報は攻撃者側の手中にありますので、そういった点では身代金の支払いというのは抜本的な解決にはならないと思います。
橘:　やはり、その被害にあっても警察に届けを出さないところもあると思いますので、把握されているのは本当に氷山の一角といえそうですね。
河原:　これは氷山の一角ですが、それでも昨年1年間で被害に遭ったと報告していただいた件数は197件。ということで、一昨年から1割ほど減少していますが、いずれにしても高い水準で推移しています。

その対策とは

橘:　どのような対策を取られているのでしょうか。
河原:　データのバックアップを取っていただくことが必要です。日本企業の意識も高まってきて、昨年、警察庁がランサムウェアの被害にあった企業に対して行った調査でも、9割以上の企業がバックアップを取得していました。しかし、バックアップを取っていても、被害前の状態まで復元できた組織は2割以下です。バックアップ運用の不備や、あるいは攻撃者にバックアップデータを含めて暗号化されてしまったことなどが理由です。

橘:　バックアップを取っているから身代金を払って取り戻す必要はないとはいえ、取られてしまったデータが犯罪者側に渡ることが大きな問題ですね。

河原:　まずは侵入されないことが重要ですが、相対的に防御の弱い業務を委託している業務委託先や取引先の企業、あるいは海外の現地法人、こういったところのシステムが最初に侵害を受けると、そこからVPNやリモートデスクトップなどを経由して本社のネットワークに侵入されてしまう。このような手口は、非常に多く見られます。これはランサムウェアだけではなく、機密情報や先端技術に関する情報を盗み取ろうとする国家の支援を受けたようなサイバー攻撃についても、このような手口が共通している状況です。

橘:　こうなると犯罪組織と警察でテクノロジーの争いのようになりますね。
河原:　そうですね。やはりそこは、テクノロジーの競争という側面もあるので、常に研鑽に励み、新しい技術などをキャッチアップしていく姿勢が不可欠になっていますね。

バックアップを取る以外にすべきこととは

橘:　企業側や組織側の対策としては、バックアップを取る以外に何かすべきことはありますか？

河原:　これはサプライチェーンの弱点を悪用した攻撃と言えますが、自身の組織だけで十分なセキュリティ対策を講じていく。これは非常に重要かつ不可欠なのですが、対策がまだ不十分な関係する組織を介して攻撃を受ける場合、これも容易に想定できるわけで、委託先や取引先、海外支社、現地法人などサプライチェーン全体のセキュリティ対策を講じていくことが重要です。背景はいろいろありますが、内部の社員や委託先の社員を介して情報が流出するケースも多数発生しているので、サイバー空間だけのセキュリティではなく、物理的なセキュリティにも注力していくことが重要だと考えております。

橘:　関係者からどのように流出してしまうのですか。

河原:　アクセス権を持っている部内の人がシステムから重要な情報を取り出し、持って出てしまうなど、様々なケースが考えられます。これは、非常に大変です。
橘:　可能性が無限にあり、いたちごっこですね。

河原:　これがデジタル社会の脆弱な部分になってこようかと思います。