「なぜ自分が」という問いから始める

この問いは感情から出てくるものですが、答えは技術と経済の側にあります。

心当たりがないのは当然です。多くの乗っ取りは、あなたという個人を選んで始まったものではありません。どこかで流出した認証情報の一覧に、たまたまあなたのメールアドレスが載っていた。あるいは、無差別に送られたフィッシングメールの一通を、たまたま開いた。選ばれたのではなく、条件に合致しただけです。

そして、条件に合致したアカウントに何が起きるかは、犯人にとっての採算で決まります。だから対策とは、精神論でも運任せでもなく、攻撃者の採算を合わなくする作業だということになります。この記事はその一点を軸に組み立てています。

先に、要点

入口はどこにあるのか

乗っ取りは「破られる」というより「入られる」ものです。鍵を壊すのではなく、鍵そのものを手に入れる。公的な統計も、その形を示しています。

侵入経路の六類型

すべての経路は、一点に収束する

六つの経路は別々に見えますが、被害の規模を決めているのは一つの要素です。

そもそも、なぜパスワードが漏れるのか

前章で「認証情報そのものを手に入れる類型が中心にある」と書きました。では、その認証情報はどこから出てくるのか。ここを理解しないと、対策の優先順位を間違えます。

漏れ方の六経路

なぜ起こるのか ── 不注意ではなく、設計の帰結

「気をつけていれば防げた」という説明は、半分しか当たっていません。起きやすい構造が、先にあります。

犯人にとって、何が得なのか

ここが本稿の中心です。乗っ取りは犯罪であると同時に、収支のある活動です。何が得られるのかが分かれば、なぜ自分のような人間が対象になるのかも分かります。

攻撃者の損益計算

これらを、犯人の側から一枚に並べます。

対策 ── 攻撃者のコストを上げる

四つの層に分けます。上から順に、費用対効果が高い順です。

法人の場合 ── 攻撃面は人数分ある

組織では、対策の対象が「アカウント」ではなく「アカウントに触れる人と経路の総体」になります。

弊所の見解 ── 本人に自覚がないことが、ほとんどだった

ここまで公表資料に基づいて整理してきました。ここでは、弊所がこれまで相談を受けてきた範囲での実感を述べます。件数を数えたものではなく、あくまで経験の範囲での所見です。

結論から書きます。乗っ取りの相談を受けて事情を伺うと、本人に自覚がなかったという場面がほとんどでした。不注意だったという意味ではありません。自覚のしようがない形で、条件が揃っていたということです。

自覚がなかったこと、四つ

そのほかに、印象に残っていること

心当たりがあった方は、ほとんどいませんでした。「誰かに恨まれた覚えはない」「有名でもない」と、皆さん同じことを話されます。本稿を仕組みと動機の側から書いたのは、その問いに納得のいく答えをお返ししたかったからです。心当たりがないのは、見落としているからではありません。

「パスワードを変えたのに止まらない」という相談が、想像より多くありました。本人は何度も変えていて、それでも投稿が続く。原因がパスワードではないのに、パスワードを変え続けている。この状態が続くと、多くの方が「何をしても無駄だ」と感じて動きを止めてしまいます。そこで止まってしまうことが、いちばんもったいない。

連絡が取れなくなることの重さは、被害に遭う前には見積もられていません。そのSNSでしか繋がっていない相手がいる、という状態は、日常では何の問題も起こしません。しかし乗っ取られた瞬間に、被害を止めるための告知を届ける経路がない、という意味に変わります。

まとめ

筆者の見解 ── 目標は「破られないこと」ではない

ここから先は、事実の整理ではなく、実務にあたる者としての見解です。