『セキュリティが甘い？大企業やネット会社でさえも情報流出』 の クチコミ掲示板

[放置ラブ]

今月あちこちで情報が流出してます。
大企業もですし、GMOとかSO-NETというネット系の企業でさえも。

やはりセキュリティが甘いのでしょうか？
甘いという事はそこへコストをかけていないという事でしょうか？

ＰＨＰは14年間言われている脆弱性が見つかりませんでした。
AIが進化したからこそPHPの脆弱性が感知できたわけで、膨大な数のサイトが修正対策作業に追われています。
人間の能力ではもはや無理でしょうか。

書込番号：26576334

[sandbag]

＞放置ラブさん
日本はセキュリティに投資してこなかった上に、ロシア・中国・北朝鮮から敵視されているのも影響が大きいのでしょう。
https://jp.security.ntt/insights_resources/security_magazine/where-ransomware-comes-from/

GMOは脆弱性を内部で指摘していたのに、サービスを止めてはならないことを優先し対応が遅れたのが原因でした。
技術面で遅れていることもありますが、経営陣のセキュリティに関する理解不足も問題でしょう。

書込番号：26576381

[ムアディブ]

いや、別に使ってる技術は同じなので、モグラ叩きが続いてるだけですね。

2026/3くらいからAIによって攻撃の効率化が急に進化したようで、激増してます。
攻撃先行なんで、進歩した瞬間はいつもバキバキにやられます。戦争だと、いつも負けて後退しては粘るみたいになる。

AIは従来、人手でやってた穴を見つける作業を、自動で飽きずに延々とやり続けるので、従来型の「確率低いからOKだよね」みたなのはだいぶ通用しなくなりました。

で、企業側の防御は温度差があって、、、
A.業界に先駆けて安全性を確保する (優良企業)
B.ニュースにならない程度にやっとく (実用主義)
C.横並び (他の同業がやってる程度に)
D.てけとー (底辺)

このブレンド具合は業界によって違います。

金融はだいたいAとBの間です。やらかすと行政指導が入っちゃうからね。
金融業の業務実態は、ITによる自動販売機なんで、ITで手抜きしてたら会社としてどういう価値があったんだろうってなると思います。

GMOはフタ開けてみたらめちゃくちゃだった訳ですけど、なんか攻撃者を攻撃してくれみたいなことを政府に頼んだりとかもう、厨二レベルなんでDよりさらに下かなと。
いざ攻撃されたら、立て直すシナリオさえなかったって事ですから、ほんとにやる気なかったんだなと思います。ちょっと珍しいタイプ。

SONY系はたびたびやられてるんだけど、秘密主義で良くわからないですね。やられてからカネ掛けるタイプかな?
技術者が居ないとは思えないので、今回は油断しててたまたまやられちゃっただけじゃないかと。
謝罪は実に上手で、良く勉強してるというか、まさにお手本のような事態収拾をします。

>やはりセキュリティが甘いのでしょうか？
>甘いという事はそこへコストをかけていないという事でしょうか？

一律には言えないけど、セキュリティはコストでしかないので常に妥協の産物です。
交通安全や災害対策と考え方は何ら変わりません。

>ＰＨＰは14年間言われている脆弱性が見つかりませんでした。
>AIが進化したからこそPHPの脆弱性が感知できたわけで、膨大な数のサイトが修正対策作業に追われています。
>人間の能力ではもはや無理でしょうか。

対策してるのだからできてるんですよね?

書込番号：26576388

[ムアディブ]

防御側にもAIが要るんじゃないか? という話ならもちろん使い方を考えるべきですね。

ただし、マルウェア作るのと検知パターン作るのではやることが全く違うし技術的な制約も全く違うのと同じ、AIで攻撃するのとAIで防御するのは全く別の技術になります。
なので時間かかるかもねー。
自分もアイデアだししてるけど。

AIを入口に立たせたら、当然AIも汚染される可能性が出てきます。
既にプロンプトインジェクション攻撃なんてものも言われてるし。
防御AIを防御するためのAIなんてのも必要そうだね。

ちなみに脱獄が得意なOpenAIのAIは多層防御で脱走を止めてるらしいです。(エヴァンゲリヲン、、、)
実に厨二ごころをくすぐりますね。

書込番号：26576397

[mosimosidesu]

＞放置ラブさん
おはようございます。

＞やはりセキュリティが甘いのでしょうか？
＞甘いという事はそこへコストをかけていないという事でしょうか？
そうですね、ペネトレーションテストにしても海外の企業は企業、個人を問わずに受け付けていることが多いようですが、日本企業は個人は相手なされないことが多いようです。

＞人間の能力ではもはや無理でしょうか。
今のところは、人間が使うツールが増えただけで、やっているのは人間です。

ちょっと前までは一部の人にしかできなかったのですが、LLMを使うことによって出来る人が激増してしまいましたね。

海外の企業ではインシデントレポートも増えすぎて対応できない状況の様です。

今後は企業では個人情報は持たない様に変化すると思われます。

書込番号：26576420

[DATYURA]

＞放置ラブさん
今回の情報流出問題で考えないといけない事は、情報流出＝流出させた企業の責任なのかという事です。
システムの欠陥と設定のミスは分けて考えるべきだと思います。
今回のようにシステム基盤の脆弱性を突かれた場合、
修正が始まるのは、どこかが攻撃された後で、修正されるまで各企業にできる事はサービスを止める事だけです。
各企業に責任がないとは言わないけれど、セキュリティの甘さで片付けるのは違うかなと思います。

書込番号：26576433　スマートフォンサイトからの書き込み

[mosimosidesu]

しかしながら、市販のアプリケーションを標的とした攻撃の中にはゼロデイ攻撃も存在するものの、多くの事例では既知の脆弱性が悪用されています。
既知の脆弱性については、ベンダーから修正パッチや対策が提供されている場合が少なくないため、被害防止の観点では、利用企業による適切な脆弱性管理やパッチ適用が重要であり、その責任も大きいと考えられます。

書込番号：26576482

[揚げないかつパン]

ハッキングにAIは既に使われています。ARTEXというリバースエンジニアリング用のAIツールでプログラムの脆弱性を調べてハッキングすると言う手法は既に使われ始めます。今度、この様なツールでのハッキングや防衛はされる様にはなると思われます。

日本では中小も多く、コストのかかる対策はなかなか出来ないと言うのは、まあ、そうですねという感じです。
大手についてはGMOの対策は論外としてと、割と入られていると言う感じです。

ただ、それがどんなツールを使うとか、最新にしてるか？とかで言うなら、大手はちゃんとお金は掛けてるとは思います。

書込番号：26576527　スマートフォンサイトからの書き込み

[turion]

＞GMOは脆弱性を内部で指摘していたのに、サービスを止めてはならないことを優先し対応が遅れた

ユーザーのパソコンをサーバーにリモートディスクトップで接続し続けたら危険でしょう
ですから、接続していたパソコンの個人情報が抜き取られた


＞経営陣のセキュリティに関する理解不足も問題

話にならない、論外
政府に緊急対策要請するって問題のすり替えにも思える

書込番号：26576545

[mosimosidesu]

＞揚げないかつパンさん
こんにちは。

＞ハッキングにAIは既に使われています。
最近のハッキングは、ほぼほぼAIによるものでしょうね。
ちょっとした環境があればほとんどの人が出来てしまうのでしょうね。
前にも書きましたが、ペネトレーションテストもAIが増えてきて
大量のインシデントレポートが提出されている為、企業も対応しきれない様です。

＞それがどんなツールを使うとか、最新にしてるか？とかで言うなら、大手はちゃんとお金は掛けてるとは思います。
私の経験上では最新の環境にしてある会社や公共施設は１つもありませんでした。

書込番号：26576547

[ヘイムスクリングラ]

GAFAとMSが漏れたら色々終わりだし
攻撃者が最大の利益を得るためにはそこをねらうはずだが
一応漏れてない（はず）
そう考えたら漏れてるところは甘いんでしょうねと思います

書込番号：26576576

[Solare]

多分攻撃されたうちの分析ができてる分だけと思うけど、Aiが使われてる割合が昨日出てたけどまだ8パーセントくらいらしいよ。

まあハッキングするにもしようとする相手にもよるけど結構人の数はいるはずなので、Ai使えばそれを少人数で、つまりコストかけなくてもできるのは確かですから、これからは増えていくでしょう。

国がやれることは今のところ攻撃側の国を特定したら、その国との通信を遮断するくらいしかできないので、電気やガスや病院や空港・政府機関のような人命にかかわる場合はやるだろうけど、一企業のためにその他に迷惑も掛かる話なので、やれないでしょうね。

書込番号：26576599