サイバーセキュリティの専門家たちは、厳しい1か月を過ごしている。「ブラック・オクトーバー」と呼ばれるこの混乱はまだ終わっていないが、すでにインターネット上で数十件の大規模サイバー攻撃とAIによって特定された脆弱性を生み出している。

10月21日、PHP FoundationがAIツールの助けを借りて発見されたPHPの重大な脆弱性を公開したことで、混乱は拡大した。PHPは全ウェブサイトの約70%を支えるプログラミング言語だ。この公開を受けて、世界中のサーバーにパッチを適用する競争が始まった。クラウドサービスプロバイダーのCloudflareは、脆弱性が公表された後、数百万件の悪用試みを報告しており、その数時間前にも数千件の試みがあったという。

フランスやフィンランドを含む一部の国々は特定のウェブサイトへのアクセスを一時的に遮断し、米国家安全保障局(NSA)は組織に対し脆弱性を直ちに修正するか、影響を受けるシステムをオフラインにするよう警告した。

「我々は今、セキュリティのハルマゲドンの中にいる」とNEARの創設者Illia Polosukhin氏は述べた。Anthropicの最高セキュリティアドバイザーJason Clinton氏は、「この4日間で起きた事態がどれほど深刻でも、改善する前にもっと悪化するだろう」と警告している。

英国の国民はさらに、水道、電力、インターネットなどの重要インフラへのアクセスを遮断しかねない、悪天候やサイバー攻撃などの緊急事態に「備える」よう促されている。一方、米軍の施設は、FORTRESS構想のもとで90日間の独立運転に備えるよう指示された。

ブラック・オクトーバーは本当にどれほど深刻なのか

缶詰やトランシーバーを買いだめに走るほかに、一般の人々が自分のさらされ方を軽減するためにできることはあるのだろうか?

「本当に深刻だ。まるでインターネットの他の部分が、我々が3か月前に直面していた現実にようやく目を覚ましているようだ」と、Bitcoin Red Teamに関わるビットコインセキュリティ研究者のRob Hamilton氏はCointelegraph Magazineに語った。

この1週間ほどで、一連のインシデントが発生した。クラウドプラットフォームのRailwayは、攻撃者が顧客の認証情報とAPIキーにアクセスし、復号していたことを明らかにした。標的はAIプロバイダーだったとみられる。

関連: フランスはビットコイン保有者にとって世界で最も危険な場所:7か月で90件の攻撃

医療検査大手のQuest Diagnosticsは患者の健康データ侵害を確認し、インドのセキュリティ企業eMudhraでは、攻撃者が信頼されたウェブサイトになりすますことを可能にしかねない弱い鍵を持つ8つのデジタル認証局が発見された。また、コードホスティングプラットフォームのGitHubは大規模なサービス障害に見舞われ、ソフトウェア業界が共有インフラにどれほど依存しているかを浮き彫りにした。

GitHubのシニアディレクター・オブ・セキュリティであるAustin Devers氏は、こうしたインシデントは「信頼性には継続的な取り組みが必要だという明確な注意喚起」であり、現代の開発は「非常に相互接続されている」ためだと述べた。

ブロックチェーンセキュリティ企業CertiKのOSINT(公開情報調査)およびブロックチェーンインテリジェンスアナリストのJonathan Riss氏はCointelegraph Magazineにこう語った。「我々が最も懸念するのは、共有インフラにおける単一の弱点が、多くの組織を同時に危険にさらす可能性だ」。そして残念ながら、AIの脆弱性発見能力は修正能力と釣り合っていないと彼は付け加える。「脆弱性をより速く発見できても、より速く解決できることにはならない」

事態がさらに悪化しそうな理由

問題が悪化している一因は、AIがサイバーセキュリティの経済性を変えたことだ。かつては国家レベルのリソースと高度なハッカーを必要とした攻撃が、今ではどこかの地下室にいる10代の若者でも実行できる。

AI起業家兼投資家のMatt Shumer氏はsaid、AIによって技術初心者でも弱点を見つけて悪用できるようになり、防御側は「追いつくために競っている」状態だと述べた。「すべての弱点は、すでに限界まで追い込まれている人々が管理する何百万ものシステム上で、修正、テスト、導入されなければならない」と彼は語った。

Devers氏は、AI支援型セキュリティツールが「広く使われているコードベースにある複雑で深い欠陥の発見」のハードルを「劇的に」下げていると付け加えた。

関連: Keystone、ウェブサイト侵害でハードウェアウォレット購入者のアドレスが流出したと発表

一般の人々が実際にできることは?

こうした不安定な時期にオンラインでより安全を保つために、一般のユーザーが取れる実際的な対策がある。

Shumer氏は、知らないサイトにはアクセスしないこと、そして「この騒ぎが収まるまで」よく知らないサイトには絶対にパスワードやカード番号を入力しないことを勧めている。小規模なサイトは「パッチを適用している可能性が最も低い」からだ。また、使っていないアプリの削除や、必要のないスマートガジェットの電源を切ることも提案している。特に慎重になりたい場合は、家に現金と数日分の食料を備えておくとよいという。

Devers氏は、最善の防御は「個人のアクセスポイントを固め、全体のフットプリントを小さく保つこと」だという。その第一歩として、すべてのアカウントで多要素認証(MFA)を有効にし、できればSMSではなく認証アプリやハードウェアセキュリティキーを使用する。「これはサーキットブレーカーとして機能し、たとえ基盤となるソフトウェアが侵害されていても、ハッカーがアカウントにログインするのを防ぎます」と彼は述べた。

さらに、パスワードの再利用は絶対にしないこと。「すべてのサイトに対して強固で一意なパスワードを作成し、使用しなくなった古いアプリの権限やサードパーティとの接続を定期的に解除してください」。デバイスとウェブブラウザも自動更新に設定すべきだ。「プラットフォームチームがバックエンドでクラウドレベルのセキュリティ問題の修正に取り組んでいる間、自分のデバイスを安全に保つことで、ハッカーが個人のハードウェアをアカウントへのバックドアとして使えないようにできます」

セルフカストディか、それとも否か

セキュリティインシデントの急増を受け、一部の暗号資産保有者はセルフカストディの代替を検討し始め、資金を取引所やその他のカストディアンに移す、つまり自分自身の鍵を持たないことについて、一部の専門家は自鍵保有に反対を勧めている。一方、ビットコインの擁護者でCasaの最高セキュリティ責任者であるJameson Lopp氏などは、そうすることは本末転倒だと反論する。「ビットコインの特異な性質の恩恵を受けられるのは、自分自身の鍵を保有しているときだけです。[...] 鍵を手放してもリスクは消えません。リスクは、見えず、制御できない場所に移るだけです」と彼はsaid。

Riss氏は、使用する予定の少額をホットウォレット(インターネットに接続されたソフトウェアウォレット)に分け、長期保有分はハードウェアウォレット(秘密鍵をオフラインで保管する物理デバイス)で管理すること、そして「盲目的に承認するのではなく、実際に署名内容を読むこと」を勧めている。

これらの予防策は個人が攻撃される脆弱性を減らすことはできるが、一般ユーザーが対応できるのはローカルな問題にとどまり、より広範な問題に影響を与える力はほとんどない。「爆発半径を縮小」することはできても、「インフラの侵害を防ぐ」ことはできないとRiss氏は言う。つまり、ユーザーがサイバーハイジーンを改善できたとしても、最終的には「構造的な負担はプラットフォームとプロバイダーの側にある」のだ。

Magazine: 詐欺師が改ざんされたLedgerに保管された480万ドルを失う:Asia Express