イギリス大手保険機関も被害者！　世界中で感染が広がる不正プログラム“WannaCry”の脅威

世界各地で同時多発的に起こっているサイバー問題

山本一太氏（以下、山本）：ということでですね、ここからサイバー問題の話なんですけども。まず真打ちのウィリアム齋藤氏に登場していただく前に、3ヶ国語を操るジェントルマン・長尾俊介に最初に出てもらいます。

今、ウィリアム齋藤氏も来てますんで、2人に登場していただきたいと思います。みなさん拍手でお迎えください。

まず最初、ウィリアム齋藤さんです。どうぞ。

（会場拍手）

はい。続いて長尾俊介、俊ちゃん。

（会場拍手）

山本：はい。ということで。ウィリー、本当にお忙しいところすいません。

齋藤ウィリアム浩幸氏（以下、齋藤）：いえいえ。どうも、ご無沙汰しております。

山本：この人は本当に、めちゃくちゃ忙しいんです。引っ張りだこで、世界中を飛び回ってるんだけど。親友だから、ウィリーは。本当に友情に熱くて……今日はここまで駆けつけてもらいました。

今日はサイバー問題について、あとでウィリアム齋藤氏にうかがっていきます。日本でこれ以上くわしい人を、私は知りません。おそらく、いろんなサイバー問題を抱えている企業のトップの中にも、ウィリアムのことを知らない人はいないと思うんですけどね。

私がIT担当大臣の時も、ダボスに同行してくれてね。彼はダボス会議のヤングリーダーズの1人でもあるので、大変助けていただきました。

今日はそのウィリーにサイバー問題を聞く前に、3ヶ国語をしゃべる謎のジェントルマン・長尾俊介氏から、今回世界各地で同時多発的に起こっているサイバー問題が、どういう問題なのか長尾さんのほうから解説をしていただきます。そのあとちょっとウィリーと議論したいと思います。

長尾俊介氏（以下、長尾）：そんな、齋藤さんの前で……。

山本：（コメント欄に）「長尾さんかっこいい」って出てるよ。

Windowsの脆弱性を狙い、広がっている「WannaCry（ワナクライ）」

長尾：（笑）。齋藤さんの前で、もう本当に手前味噌で恐れ多いんですけども。週末に起こった、この……。

山本：はい、これね。

長尾：この画像にある通り、まぁ……。

山本：これ、映してください。

長尾：サイバーアタックがあったんですね。けっこう全世界で影響が出た。

山本：週末にかけて起きた、全世界大規模ハッキング。

長尾：はい。なにが特別だったかといいますと、この絵に描いてある通り、これはセキュリティ……。

山本：「草津温泉をよろしく」って、草津温泉じゃないから（笑）。

長尾：これはセキュリティ関係の、インターネットのメディアが投稿していた写真なんですけれど。

NSAっていうのは、アメリカのセキュリティエージェンシーなんです。（写真にある）「NSA-powered」というのは、NSAがまるである程度加担した、っていう読み方もできるんです。

どういう意図でこういうキャプションをつけてるかというと、NSAが持っていたプログラムを悪用した世界大規模ハッキングで。それが今まで例になかったので、けっこう強烈なメッセージを……。

山本：NSAといえば、アメリカの非常に有力な情報機関ですよね。情報コミュニティの中でも非常に力を持った……国家情報局かなんかかな？

齋藤：そうです。

山本：そこで？

長尾：その次のスライドにいきます。これはForbesが出してる……。

山本：お～。はい。

長尾：「WannaCry（ワナクライ）」っていうのが、今回のランサムウェアの名前なんですけれども。それがWindowsの脆弱性を使って、なおかつものすごい浸透率というか。コンピューターからいろんなコンピューターへ、どんどん伝染していった事件だったんです。

英国の大手保健機関も被害者に……！

なので、Appleを使ってる人は被害に遭ってないんですけれども、官公庁や企業でWindowsの脆弱性を（突かれた）。アップデートをしてパッチを当てていない、少し古いWindowsの機体、個体、マシンに、どんどんどんどん伝播していって。

山本：古いWindowsを持ってる人たちだけが、被害を受けたわけですね？

長尾：4月に一応、マイクロソフトがパッチを当てたんですけれども。そのパッチを当てていないマシンが感染した。

山本：「パッチを当てた」っていうのは、進化させたというか、セキュリティを強化したものを出したわけね？　脆弱だったから。

長尾：はい。

山本：なるほど。じゃあ、そのパッチを当ててない……脆弱なものを強化していない人たちが、やられたわけですね？

長尾：そうですね。あとは古いWindowsのバージョンで、WindowsのXPを使っていたりした人たちは、それを準備ができてなかったってことなんですけど。

（スライドを指して）下の段にある通り、これにはいろいろな機関が影響を受けていて。イギリスの「National Health Service（ナショナル・ヘルス・サービス）」っていう保健機関ですね。その最大手のものも、コンピューターの大部分が、この攻撃によって機能しなくなって。

山本：これちょっと、長尾さん読んで。「デスラプテッド・サージュリーズ」。

長尾：「disrupted surgeries」。

山本：ウィリー読んで。

齋藤：「disrupted surgeries」。

山本：ねぇ。2人とも完璧ですよ、英語。

長尾・齋藤：（笑）。

山本：まぁいいや、どうぞ。

長尾：要するに、攻撃を受けたことで手術ができなくなったという、けっこう直接的な被害が出てるんですね。

WannaCryの直訳は「泣きたい」

次のページにいきますと……。

山本：どうぞ。

長尾：これがですね。

山本：WannaCry。

長尾：はい。どのようにして、そのWannaCryが機能するか……。

山本：（長尾さんが）「マイクの位置直してほしい」って。聞こえにくいんかな？

長尾：ごめんなさい。

山本：まさしく、「WannaCry」って「泣きたい」っていう意味でしょ？

長尾：そうです、直訳すると。本当にそんな感じだったんですけど、やられた方は。

山本：なるほど。

長尾：あまりここでは細かな話には入りませんけども。これ、トレンドマイクロっていう日本のセキュリティ会社がきれいにまとめてるんです。

WannaCryは本当はそんなに複雑な機能じゃないんですけれども。脆弱性をうまく突いて、なおかつものすごいスピードで拡散するようなソフトだったんで、今回被害が大きくなったんですね。

被害総額がそれほど高くなかった理由は「ビットコイン」

長尾：ウィリアムさんにバトンタッチする前に、最後、このスライドですね。これが、実際に感染したコンピューターに出てくる画面なんですけれども。乗っ取られてこういう画面が出てきて……要するに、「あなたのコンピューターを乗っ取りましたよ」と。

「（乗っ取っているので）いろいろな重要なファイルにアクセスできないようにしている。もう一度アクセスしたいなら、約300ドル分の、仮想通貨のビットコインをここに振り込んでください」と。

そして1週間なにもしないと……あるいは3日間だったかもしれないんですけれども。「300ドルだったのが600ドルとか700ドルになるので、早めに振り込んだほうがいいですよ」という脅迫文が送られてくるんです。

山本：でも（被害額の）規模がけっこう小さくて、世界150ヶ国かなんかで起こったわりには、被害額はそんなに多くなかったんですよね？

長尾：そうです。ビットコインを振り込んだところがあんまりなくて。なおかつ他のサイバー攻撃のように……中には被害総額が何十億円というように、同じような脅迫をしてビットコインを振り込ませたケースがあったんですけど。今回は確か、1億円もいってない。

山本：いってないんですよね。私はビットコインを知らないから、例えば私に攻撃を仕掛けたとしても、意味ないですよね。

長尾：そうですね（笑）。

山本：「ホワッツ、ビットコイン？」みたいな。

長尾：そんな感じで、齋藤さんにバトンタッチをしたいと思います。

発信源を見つけることは、すごく難しい

山本：はい。そこでね、ウィリーに聞きたいんだけど。今回のWannaCry。「泣きたいランサムウェア」のサイバー攻撃っていうのは、史上最高、史上最大規模ですかね？

齋藤：そうですね。ランサムウェアとしては、もう20万件……。

山本：20万件！

齋藤：被害があって。ただ、おっしゃったように（被害）金額としては1,000万円もいってないというところで。例としては、そんなに儲かっていない詐欺なんですね。

山本：なるほど。これを受けて、日本政府としてもいろいろ対策を打つっていうことで。菅官房長官のもとに、ある機関がありますよね。なんだっけ？

齋藤：NISC（ニスク/内閣サイバーセキュリティセンター）。

山本：NISC。「なんだっけ」って、担当大臣だったのに……。

齋藤：（笑）。

山本：NISCね。NISCが体制をちょっと強化して、サイバー攻撃に、いろんな対応をしていこうということになったんですけども。サイバー攻撃って、発信源を見つけるのがすごく難しいと言われていますよね？

齋藤：そうですね。

山本：さっき長尾さんはそこまでは触れなかったけど、今回のWannaCryは誰がやったのかと、いろんな噂が出てて。ロシアが相当被害を受けてるんだけど。ロシアの一部は「北朝鮮じゃないか」とかね。そこらへんを、ウィリアム齋藤氏はどう分析してます？

齋藤：これは確かになかなか難しいんですけど、専門家の中では……。プログラムを組むっていうのは、やっぱりプログラムの癖というのがあるんですね。

そこで今一番「犯人か？」と疑われているところがある。プログラムのやり方・書き方・組み方というのが、北朝鮮に近いかなって。いろんなメディアが話をしてるんですね。

ただ、誰かのフリをするとか再現するっていうのは、誰でもできるので。100パーセントそれを特定するには、まだちょっと早いかなと思いますね。

日本のサイバーセキュリティは小学生レベル

山本：なるほど。それで、これに対していろいろ日本政府も反応して、対抗措置をやらなきゃいけないということですね。例えば水曜日の、今日の日経新聞なんかにも出てるんですけども……。

ちょっとテレビ番組っぽくなってきた？　新聞なんか出したりして。

2020年までに法整備を目指すということでね、政府が検討するという。たぶんアメリカをすごく参考にしてるんだと思うけど。例えば電力・鉄道・医療・金融、13分野のインフラを準インフラに指定して、深刻度を5に分けて。レベル3以上だったら政府が対応に乗り出す、とかね。

あるいは、レベル5だったらサイバー攻撃の手段で反撃っていう、対抗措置を取るみたいになってるんだけど。これを言うのは簡単だけど、やるのはすごく大変だと思うんですよね。ここらへんのその対策については、ウィリーはどういうふうに見てますか？

齋藤：そういう意味では、日本政府もこの1～2年の間に、もう山本さんが大臣の時からすごい動き出して。まさにその5段階のサイバーの対策というのは、ちょうど先々週のゴールデンウィーク中に、NISCがアメリカのDHS、安全保障局と……。

山本：DHSというと、なんだっけ？

齋藤：国家安全保障局（Department of Homeland Security）。

山本：国家安全保障局。

齋藤：アメリカの国家安全保障局と提携して、そこらへんの情報共有をすることの、ステップは確かに踏んでます。それがどう実行されるかというのは、これから詰めるところに入っていくと思うんですけどね。

山本：あのね、ユーザーのみなさん。私がIT担当大臣だった時に、実はサイバーも担当していて。ウィリアム齋藤氏が忙しいところ同行してくれて、アメリカに行ったんですよね。

齋藤：はい。

山本：アメリカで、けっこうサイバーセキュリティ関係者に会って。ニューヨークでも、サイバーセキュリティの起業家たちといろいろと……ウィリーがいなかったら会えなかった人たちと懇談したんだけど。

やっぱりアメリカのレベルに比べると、日本のサイバーセキュリティの練度っていうのは、大学生と小学生ぐらいだった。今ちょっと近づいたんでしょうか？　どうでしょうか、実態は。かなりやばいでしょ？

齋藤：まぁ、まだやることはいっぱいありますよね。