政府は個人情報漏えい事故の多発を受け、Webサイトやモバイルアプリを運営する事業者に対し、基本的なセキュリティ対策の徹底を求めた。既知の脆弱性の放置や設定不備などが被害の背景にあると指摘。攻撃者がAIを悪用し、脆弱なシステムのスキャンを大規模化した可能性にも言及した。

ITmediaによると、内閣官房国家サイバー統括室は11月5日、個人情報を扱う事業者向けのセキュリティ勧告を公表した。調査では、アプリ開発工程でのセキュリティ不備やWebサイトの設定ミス、サポートが終了したソフトウェアの利用、既知の脆弱性を修正していない事例などが複数確認されたという。

当局は、攻撃者がインターネット上に公開されたシステムを広範囲に調査し、侵入先を選定したうえで個人情報を窃取したと説明した。一見、深刻度が低い脆弱性でも、複数を組み合わせることで侵入に悪用される可能性があるとしている。

また、AIの利用によってスキャンや攻撃の規模が拡大した可能性があるとの見方も示した。ただし、個別の事故でAI利用が立証されたわけではないとしている。

勧告では、対策を「運用・管理」「設計・開発」「サプライチェーン管理」の3分野に整理した。運用段階では、ソフトウェアの構成や脆弱性を常時把握し、対応の優先順位と期限を定めるよう求めた。

あわせて、インターネットに公開された不要な管理画面の遮断や、弱いパスワードを狙った総当たり攻撃への備えも盛り込んだ。AIを活用した診断やログ分析による異常兆候の監視も推奨している。

開発段階では、当初からセキュリティを組み込む「Security by Design（セキュリティ・バイ・デザイン）」の原則を強調した。公開中のモバイルアプリを解析し、API経由で情報を抜き取る手口が確認されたとして、認証情報の管理やアクセス制御の強化、リリース前の脆弱性診断の実施を求めた。

外部委託先や保守事業者を経由した攻撃にも警戒を促した。協力会社が利用するVPNやリモートデスクトップの接続経路を点検し、多要素認証を適用すべきだとした。

オープンソースや外部ライブラリで深刻な脆弱性が見つかった場合の初動手順を整備するよう求めた。国家サイバー統括室は先月9日にも、迅速なセキュリティパッチ適用と多要素認証の導入を促しており、今回の勧告ではWeb・アプリ開発やサプライチェーン管理まで踏み込んで対策を示した。