それ、間違ってるよ
セキュリティを蔑ろにする者に海賊版を糾弾する権利はない。
いかにも燃え上がりそうな言葉だが、こんなチラ裏を覗くような奴らだ。
忖度無しでコトを語ろう。もう一度言う。
セキュリティを蔑ろにする者に海賊版を糾弾する権利はない。
「いきなり何様だ」と石を投げつけられるべき妄言を発するに至った経緯を話そう。
同人活動に復帰して久しい。5年ぶりか？
この5年間、社畜として、ひいてはセキュリティエンジニアとして、細かな物事を気にかける習慣を叩きこまれた。
紆余曲折あって、セキュリティエンジニアを辞めたが、未だに習慣は抜けない。
そんな中、同人界隈で活動するにあたって、同士諸君の些細なセキュリティアンチパターンを目撃してしまうと、
ごくごくごく僅かに存在する倫理的な私と、お局が声を上げたくなってしまうのだ。
「それ、間違ってるよ」 と。
さて、以下ではお気持ち全力投球の啓蒙と、
クリエイターにとって特に大事な「データを守る」ための対策を、アンチパターンを例に取って綴る。
赤宮と見る一般家庭向けサイバー攻撃の事例
ランサムウェア被害は増加の一途を辿る。
ランサムウェアってなんだって？
ググってこい！ かみ砕いて言うなら、PCやサーバやらのデータを暗号化して身代金を要求するマルウェア、俗にいうウイルスだ。
令和4年の上期において、企業のランサムウェア被害件数は令和2年下期に比べておよそ5倍以上と報告されている。
(出典)令和４年上半期におけるサイバー空間をめぐる脅威の情勢等について
(こういうめちゃくちゃイケてるWebサイトを作る奴らがやってる。ボカシを入れてるから闇サイトをのっけてもいいよなぁ！)
「おいおい兄やん。そいつぁ企業の話だろぉ？ オイラたちゃぁしがない同人活動者ですぜ？」
あい分かった、
あんさん、NASって知っとるかえ。
令和3年、世界中のSNSが、ある脅威に震撼した。もちろん、日本も含めて。
QNAP NASを安全にご使用いただくために迅速な対応を。NASをインターネットへ公開することをやめてください
NASとは、NetworkAttachedStorageの略で、要するにネットワーク上に置くストレージ(HDDないしはSSD)だ。
QNAPとは、家庭向けあるいはSOHO向けの小規模なNASで、様々なクリエイターからパパさんママさん、じぃじにばぁば、キッズまでがQNAPを愛用している。
上で述べた「ある脅威」とは、これを狙ったランサムウェア、「Deadbolt」である。
QNAP、もといNASは、PCにおけるDドライブのような「アプリケーション以外のデータはこっちに保管しておこう」というような扱い方をしているユーザーも多い。
Deadboltは、QNAPに作業データを保存していたクリエイターの身にも降りかかり、彼らの数年間の努力の結晶であろう作品たちを一夜にして無に帰した。
Twitterで「Deadbolt」や「QNAP やられた」などで検索すると悲嘆に暮れたおじさんおばさんたちが相当数見受けられる。彼らにも家庭があるだろうに。
返してほしけりゃ身代金を払え！ と要求するDeadboltご一行。
しかしこれに応じたところで、データが返ってくる保証はなく、あなたのお金がギャングたちの手元に渡るだけである。
Deadboltは本年令和4年の1月、10月にも活動が見られ、
国問わずグローバルにQNAPを破壊している。
DeadBolt ランサムウェアが再び増加、QNAP デバイスを攻撃
まぁおそらくテレワークが主流になった現代、ロシアの大手ランサムウェアギャングが小遣い稼ぎに始めた新手のビジネスだろう。
こんなのやられたらひとたまりもない。我々同人活動者はデータが第一なのだから。
Deadboltに限った話ではない。
「Emotet」という名前のマルウェアを聞いたことのある人も多いだろう。
ランサムウェアではないものの、最近ではこのマルウェアは、ブラウザに保存している金融情報等を詐取する賢い奴になった。
こいつはビジネスマン問わず、メール経由で様々な人々のPCに潜みこむ感染力が極めて高い厄介な奴らだ。
マルウェアEmotetの感染再拡大に関する注意喚起
「URSNIF」マルウェアの極めて危険な亜種が登場—「Emotet」に似た形態
Magniberと呼ばれるランサムウェアは比較的新種だ。
こいつはブラウザでネットサーフィンしているときに、うっかり偽サイトを踏んだだけで感染する虞のある非常にムカつく輩だ。
Emotetとは違い、「ランサムウェア」だ。
NASなんかではなく、Windowsそのものを暗号化してくる。初見殺し系の最低最悪なマルウェアだ。こんなものが一般ユーザー向けに出回っていることが甚だ信じられない。
Ransomware Masquerading as Microsoft Update Targets Home Computers
ランサムウェア Magniber がJavaScriptを採用、偽のソフトウェア更新でホームユーザーを標的
お わ か り い た だ け た だ ろ う か 。
Magniberの紹介記事でマカフィーも言っている通り、ホームユーザー(家庭)向けサイバー攻撃は増加傾向にある。確実に。
遠いSFの話でも、ハリウッド映画の話でもなんでもない。
セキュリティ対策を施していない方が悪い、そう言われるような時代はすぐそこだ。
アンチパターンと対策
「じゃあどうすればいいの！」「もうおしまいだ、みんな死ぬんだ！」
まだ早い。 みんなの力をプリキュアに注げば、なんとかなるかもしれない。
サイバー攻撃を対岸の火事のように見ているとお前は死ぬかもしれないが、
ひとえに適切なセキュリティ対策を、心がけるだけで 被害は減るかもしれない。
不審者に対する挨拶運動と一緒だ。あなたが以下の文字列をがんばって読んで、
赤宮とかいう野郎が何か言っていたな、と記憶の片隅に置いておくだけでも、世界はいい方向に回転する。ほんの少しだけでも。
以下では「これはダメ、こうしなさい」という偉そうなことをつらつらと述べる。
いわゆるアンチパターンというものを伝えるのだが、あなたがそれに当てはまるからといってキレてブラウザバックしても、
お前の活動が終焉に近づく可能性が増えるだけだ。
アンチパターンと対策1：バックアップ
「バックアップを取っていない？ 今すぐやりなさい」
Deadbolt――NASに対するランサムウェアの件は後述するとして、ランサムウェアの一番の対策はバックアップだ。これに限る。
バックアップはいい。すべてを解決する。
単純にクリエイターとして、バックアップを取っていないほうが不味い。非常に。
明日大雨で冠水するかもしれないし、寿命でPCが死去なさるかもしれない。
すぐにバックアップを取る準備を進めなさい。
個人で実施するにあたり、一番信頼できるバックアップは、物理HDD/SSDを繋ぎ、バックアップを終えたら抜去するという手法だ。
今すぐAmazonやヨドバシであなたのPCの3倍程度の容量を持つディスクを買い、バックアップなさい。
バックアップはシステムバックアップという、「PCをまるごとバックアップする」というものを行うが吉。
AOMEI BackUpperなどがそれを可能にする。
とはいえ、手動でバックアップしているのも面倒だと思うので、可能であればNASに――PCと物理的に離れた場所でバックアップするのが良い。
私も自動で定期バックアップジョブを実行し、NASにシステムバックアップを取っている。
多重でバックアップを取るとさらに良い。
私はクラウドに自動でバックアップできるサービスを利用しており、
ファイルを更新した瞬間からCドライブのUserフォルダ配下のデータがクラウドストレージにバックアップされる。
これは非常に便利で、ローカル内で誤ってデータを消してしまった場合もクラウドに保持されているため、復旧が容易である。
これがぼくの考えた最強のバックアップ、NASとクラウドの多重バックアップである。
いずれも、漏洩を考慮して暗号化されたデータのみを保管している。
自宅のNASがサイバー攻撃に屈する可能性・事故に遭う可能性に加え、クラウド事業者がサイバー攻撃に屈する可能性も考えなければならない。
どちらも同時期に死ぬことは滅多にないだろうが、これでもまだまだ不安を感じる。
バックアップ手段は多重にあればあるほどいい。暗号化していればなお良い。
アンチパターンと対策2：ファイル共有
「Gigafile便を使うのを今すぐやめなさい。クラウドストレージでファイルを共有しなさい」
Gigafile便というWebサービスを利用している方の多いこと多いこと。
まず、Gigafile便は決して安全ではない。むしろ危険。
https[:]//数字2桁[.]gigafile[.]nu/数字4桁-ランダムな文字列32桁
これはGigafile便のURL形式である。
なんとこのGigafile便、同一IPアドレスからのアクセス回数規制という仕組みが一切ない。
どういうことかというと、私は今現在この記事を書きながら、裏でこのURL形式に沿った文字列で考え得る限りのパターンを生成し、ブラウザでアクセスし続けている。
このようなあからさまな 「総当たり攻撃」 に実に無防備なのである。
その結果はここに記載しないが、総当たりをすることで様々なデータを発掘できるということで定評のあるサービスである。(出典伏す)
また、Gigafile便のプライバシーポリシーには、
法令または公序良俗に違反する行為の対象となるファイルは削除する の旨記載がある。(7. 禁止行為 の項を参照)
もちろん当たり前のことではあるのだが、この文脈からは、
「アップロードしたファイルは運営元により監視される」
という解釈ができる。
また、ファイルの暗号化有無についての記載が一切見当たらない。
これは、ファイルがそのままGigafile便がホストされているサーバに送られ、保存されていることを指す。
つまり、Gigafile便がサイバー攻撃を受け、情報漏洩すれば、ファイルはフリー素材化である。
それでもお前はGigafile便を使うのか？？
その点、Googleドライブなどのクラウドストレージは暗号化されている分まだマシだ。
共有時にURLを排出するあたり、総当たり攻撃に弱いと言えないこともないが、
こちらには同一IPからの複数アクセスがあった場合、アクセス制限を設けるシステムがあるため、総当たり攻撃は現実的でない。
もっと良いのは、Googleドライブの場合は、ファイルを共有したい相手のGoogleアカウントを指定し、
指定アカウント以外閲覧できないようにすることだ。
昨今、こういった機能はコラボレーション機能と言われるが、最も安全なファイルの受け渡しである。
令和4年4月、個人情報保護法が改定された。
領収書や見積書といった、個人情報を含む書類を保存する場合は、配慮を怠った場合あなたが犯罪者となり得る。
それでもお前はGigafile便を使うのか？？
アンチパターンと対策3：ソフトウェアバージョンと脆弱性
最後に、「ソフトウェアのバージョンはなるべく最新に保とうな」 である。
全てのサイバー攻撃はソフトウェア(あるいは心理)の脆弱性から始まる。
QNAP Deadbolt事件は、QNAPを脆弱な状態で放置した側の過失である。
脆弱性について述べるとこの記事は終わらないので簡潔に留めるが、
最も身近で危険な脆弱性はブラウザの脆弱性である。
ブラウザは必ず閉じるんだ、いいな。
そうすれば次開いたときにアップデートが走るから。
もう気力が途絶えてきたので、細かくは書かない。
気になる人は「ぶらうざ ぜいじゃくせい」でググってくれ。
悲惨で危険な脆弱性が過去にどれだけ存在していたか、是非調べてほしい。
おわりに
インターネットには悪意が蔓延している。
漫画村のような表立ったWebサイトはともかく、下を見ればTor(ダークウェブ)上には果てしない数の海賊版が配布されている。
マルウェアは日々進化し、ランサムウェアギャングの手口は日に日に巧妙になっていく。
攻撃者や海賊版を配布する者の”企業努力”は絶えない。
明日原稿がリークされる・ランサムウェアに感染するのはあなたかもしれない。私も毎日震えて朝昼夕夜しか眠れない。
情報弱者はカモにされる一方である。
カモになりたくないならセキュリティと向き合え。蔑ろにするでない。
セキュリティを蔑ろにする者に海賊版を糾弾する権利はない。
彼らはお前より盗む努力をしているのだから。
一方で、鼻をほじりながらでもここまで読んでくれたあなたは非常に聡明だ。
知ってか知らずか、脳みそのどこか奥に「あの小童が何か言っていたな」と記憶され、
ソフトウェアアップデートを行うようになるし、バックアップも調べてみてくれるだろう。
こうした情報を得られる人間は情報弱者と呼ぶに相応しくない。
しかしながら、私のこのチラ裏記事も信じてはいけない。
だって出典不明なものや、推測で物事を書いてることもあるんだもん。
共にサイバー犯罪者を糾弾しよう。