00:05
おはようございます。オサナイ和志です。 青森で中小企業診断士として経営コンサルをしたり、
オサナイだけど背中は押します!を合言葉に、 全国の中小企業社長さんや社員さんを応援しています。
ということで、今日はですね、 PHPの脆弱性、その後どうなった会社と個人が今やるべき対策というテーマでお送りいたします。
先週の木曜日ですね、 PHPというプログラムに見つかった重大な欠陥のお話、 緊急で動画を回させていただきましたけれども、
あれから数日が経ちまして、 国の機関からも正式な注意の呼びかけも出てきましたし、
もうちょっと具体的な対処の仕方というのがですね、 解説したほうがいいのかなというふうに思ってまして、
特に中小企業であれば、ホームページの制作とかは、 大体制作会社さんにお願いしているようなケースがあると思うんですね。
なので、具体的に何をやればいいのかというところ、 先週の緊急配信の続きということで、ちょっとお話をさせていただければいいかなと思います。
それからもう一つですね、 今回は会社だけではなくて、社員さん一人一人個人でやっていただきたいこと、
この設定ですね、パスキーという言葉ね、 最近よく皆さん聞きませんか。
あれを入れておけば安心と思っている方こそ、 聞いていただきたい話でございますので、
最後までお話を聞いていただければいいかなというふうに思っています。
本題に入る前に少しお知らせをさせてください。
ノートメンバーシップを募集中です。
無料配信では聞けない僕の葛藤や、 具体的な数字や事例などを公開しております。
ノートでの図やグラフを交えたテキスト配信と、 それから音声配信の方、それから動画配信の方もノートでお聞きご覧いただくことができます。
目で見て耳で聞く、一度で二度おいしいためになる 有料コンテンツを配信中ですので、概要欄にリンクを貼っておきます。
ぜひそちらからご参加ください。
それからもう一つお知らせです。
いよいよ今週になりましたけれども、10月29日木曜日、 西野昭寛講演会in青森県弘前市が開催されます。
場所は弘前市民文化交流館ホールとなっています。
JR弘前駅から徒歩3分のところにあります商業施設ヒロロの4階で開催です。
会場は17時から、開演は18時からとなっております。
チケットの方ですが、チムチケの方で、 あと本当にもうわずか数席ですけれども、販売しておりますので、
ぜひ概要欄の方にリンクを貼っておきますので、 ぜひそちらからご参加ください。
よろしくお願いいたします。
ということで、今日はPHPの脆弱性、 その後どうなった、会社と個人が今やるべき対策というテーマでお送りいたします。
まず先週の緊急配信をおさらいしたいんですけれども、 それからPHPの話ですね。
PHPというのは何かというと、先週の配信でもお話しましたけれども、 ホームページとかネットショップを動かしているプログラムなんですよね。
03:04
土台というところなんですね。
だからホームページとか作っているワードプレスとか、 そういうものもPHPで動いているというところなんですね。
そこに外から勝手にプログラムを動かされてしまう、 その重大な欠陥が2つ見つかったというところだったんです。
深刻度が10点満点中の9.2ということで、 修正版のパッチの方は日本時間の10月21日水曜日の夜に出ておりました。
その後どうなったのかということ。
ニュースでさまざまいろいろなところで報道されているんで、 皆さんご承知のことだと思いますけれども、
実は海外のセキュリティ会社から修正版が出る前から、 この欠陥狙った攻撃の弱みが見つかっていたということで、
そういう報告が出ています。
修正版が出た後はその試みがさらに増えたという報告も出ているということなんですね。
ただ、その攻撃が実際にどれだけ成功しているのかというのは まだはっきりしていないということなんで、
ここは正直にわからないというふうにお伝えしたいんですけれども、 でも、狙われているということははっきりしたわけですよ。
ですから、先週お話しした時間の問題というのが もう既に始まっているということなんです。
じゃあ、我々中小企業は何をすればいいのかということなんですけれども、
先週は管理している会社に電話をまず一本、 教授に入れてくださいというふうなお話しをしましたけれども、
電話でなくてもいいんですよ。
本当にメールでも構わないんですけれども、
今日はその連絡で何を伝えればいいのかというところをもうちょっと詳しく、
この前は緊急配信だったので、 まず電話してみてくださいというふうなお話はしましたけれども、
今からでも遅くありませんので、
具体的に何をお話ししなければいけないのかということを もうちょっと詳しくお話ししていきたいなと思います。
全部で今三つお話しします。
一つ目は、今回のPHPの問題にもう対応しましたかって、 これだけでいいです。
これだけ聞いてみてください。
管理している会社にはもう十分それで伝わると思います。
もし、うちの会社のやつホームページを作ったら 古くて更新できないんですよというふうに管理会社さんに言われてしまったら、
それは要注意のサインですので、古いままでは修正できませんから、
新しい仕組みで切り替える、 移し替えるというふうな相談のほうをしてみてください。
これが一つ目です。
二つ目は、入り込まれた跡がないかどうか、 調べてもらえますかという、
ここが先週お話ししていなかったところなんですね。
直したから終わりではないんですよ。
直す前にもう入り込まれていないかどうかっていう、 そこまで確かめてもらって初めて安心なんです。
ですから、社長さんが自分で調べる必要は全くありませんので、
管理会社さんにお願いするだけで結構ですので、
入り込まれた跡がないかどうか調べてもらえますかというふうな お願いをしてみてください。
06:00
これが二つ目です。
三つ目は、使ってない古いページはありませんかということを聞いてください。
使ってない古いページはありませんか。
これよくあるのが、昔のキャンペーンで作った 専用サイトみたいな、そういうのがあったりするんですよ。
そういうのって更新していなかったりしますから、 そういうサイトそのまま残っていることがよくあります。
ですから、使ってないものは閉じてしまうということ。
これが大事です。
ですから、守るものを減らすっていうのも、 僕は立派な対策だなというふうに思っています。
ぜひこの三つ、今お話しした三つについて、 電話なりメールで聞いてみてはいかがかなというふうに思います。
あと、この前の緊急配信で動画を流した際にも こんなご相談をいただいたんですけれども、
だいぶ前に作ってもらったホームページで、 作ってくれた人とはもう連絡が取れませんと、
どうしたらいいんでしょうかというふうなご相談もいただきました。
実はこういう会社さん、結構あると思うんですね。
そうなった場合、どうすればいいのということなんですけれども、
そのときはお金の流れからちょっと辿ってみてください。
つまりどういうことかというと、ホームページを動かすにはサーバーの代金であったりとか、
ドメインといってホームページの住所みたいなものなんですけど、
この代金を毎月とか毎年とか支払ってやるはずなんですよ。
そうすると、その支払っている形式、つまり領収書であったりとか、 カードの明細であったりとかが多分届くはずなんで、
更新時期には必ずメールか何かで更新しますよというふうなお知らせが届くはずなんですよ。
そこにサーバーの会社の名前が出ています。
ですからサーバーの会社が分かれば、そこに今回のPHPの問題で、
うちのサイト大丈夫ですかというふうに問い合わせることができるかと思いますので、
サーバーの会社のほうで既に対応してくれている場合もありますけれども、
一応もし分からないという場合は、お金の流れからカード明細であったりとか領収書であったりとか、
そういうところからドメインとか、サーバー代を払っているところを確認していただければいいんじゃないかなというふうに思います。
それでも分からない、自分たちではちょっと難しいよという、そういう方もいらっしゃるかと思います。
そういう場合は一人で抱え込まないでください。
例えば今は、僕もずっとお話ししていますけれども、
GPTであったりとかクロードみたいなジェミとか、そういった生成AIに聞いてみるという手があります。
例えばこんなふうに聞いてみてください。
10年ほど前にホームページを作ってもらいましたが、作った人と連絡が取れません。
今話題のPHPの問題に対応できているか確かめたいです。
サーバーの会社の調べ方と問い合わせのメールの文明をパソコンが苦手な人にも分かるように教えてください。
みたいな、こういうふうな感じで生成AIに聞いてみてもいいかなと思います。
こう聞けば調べ方の手順も送るメールの文明も一緒に考えてくれますので、
09:02
分からないことは分からないままでいいので、まずその通りAIに聞いてみるということが大事かなと思います。
ここから個人でできるお話をちょっとしていきたいなと思います。
会社のサイトがどれだけ守り固めても、
どこかのサービスから皆さんのメールアドレスであったりとかパスワードが漏れてしまうことは十分あるわけですよ。
先週までお話ししてきた漏えいのニュースもまさにそうだったわけですね。
ここはぜひご覧いただきたいYouTubeの動画があるんですけども、
パソコン博士Takiさんっていう187万人の登録者がいるYouTuberさんなんですけども、
この方の動画がめちゃくちゃ分かりやすかったんです。
僕もコミュニティのメンバーに教えていただいてこの動画を見たんですけども、
本当に分かりやすいなと思いました。
このTakiさんの動画を参考にさせていただいて、
今からお話しさせていただきたいんですけども、
詳しい動画は概要欄にリンクを貼っておきますので、
ぜひそちらからご覧いただければいいかなと思いますけども、
まずパスワードの使い回し、これはやめてください。
結構皆さんパスワード忘れちゃうからやるじゃないですか。
これは絶対ダメです。
どこで漏れたメールアドレスとパスワードで、
どっかで漏れてしまったらメールアドレスとパスワードで他のサイトにも入れないかっていう、
そこを試されるからなんですよ。
ここは大事なんです。
だから使い回しされちゃうと、ここで入れたらここも入れるなみたいな感じで、
どんどん試されてしまうっていうことがありますから、
これは使い回しは絶対ダメです。
ダメですか。
それから情報が漏れました。
こちらからパスワードを変えてくださいというふうなメールが届いた。
そのリンクは絶対押さないでください。
いいですか。
今は漏えいに便乗した2000のメールがすっごい出回ってますので、
パスワードを変えるときは必ず自分の公式のサイトを開いてからリンクから開かないでください。
そこは絶対大事ですので、ここは覚えておいてください。
あとここでつい先週起きたことをお話ししたいんですけれども、
実際もう被害が出てます、個人でも。
gmointernetのお名前ドットコムデスクトップクラウドっていう、
FXって陶器の仕組みがあるんですけれども、
このFXの自動売買で使われているサーバーのサービスに外から不正に入り込まれたそうなんですよ。
影響を受けたかもしれないサーバーが26,739件だそうです。
サーバーの中に保存されていた証券会社であったりとか、
FX会社の取引口座のログイン情報が外に持ち出されてしまったんですよ。
その結果どうなったかというと、利用者の口座で見覚えのない取引が勝手に行われたそうで、
報道によりますとSNSには55万円なくなったとか600万円失ったというふうな声が相次いでいるということで、
12:02
gmoは損失を保証するというふうに発表はしていますけれども、
ここで大事なことが2つあるんですよ。
何かというと、1つ目はgmoがパスワードの変更と合わせてログオフもお願いしたということなんですね。
パスワードを変えてもログインしたままの状態が残っていると、そこから取引を続けられてしまう恐れがあるんです。
ですからパスワードを変えたらログインしたままのところを一回切っておくということ、これを覚えておいてください。
もう1つ同じグループのgmoクリック証券は11月28日からログインをパスキーだけにするというふうに発表しました。
パスワードでも守りきれないと証券会社自身がそう判断したということになるんですね。
ですからログインIDとパスワードじゃ入れないで、パスキーだけで大丈夫なのって思いますが、むしろそっちのほうが大丈夫です。
さっきの瀧さんの動画でも、できればログインIDパスワードで入る方法はシャッター閉めてくださいと。
つまり使わないくださいと、パスキーだけで入るようにしたほうが安全ですというふうな言い方もしてますので、
ぜひそちらの動画もご覧いただきたいんですけども。
パスキーってさっきからずっと言ってますけど、パスキーってパスキーの何ぞやというところなんですけども、
パスキーっていうのはパスワードの代わりにスマホの指紋認証であったりとか顔で画面ロックでログインする仕組みがあるじゃないですか、あれを使うんですよ。
ですからパスワードそのものをサイトに送らないんで、パスワードが漏れる心配が減るということなんですね。
ですから偽のサイトに騙されにくいという強みもあるということなんですよ。
Googleアカウントを皆さん使っている方もたくさんいらっしゃるかと思うんですけども、
GoogleアカウントであればGoogleアカウントの管理画面のセキュリティというところがあります。
管理画面からセキュリティというのがあるんですけども、そこからパスキーを作ることができます。
ですから画面の名前は時々変わるんで、詳しい手順はタキさんの動画で実際の画面を見ながら確かめてみてください。
僕もこれで設定を変えてかなり強固にしましたんで、ぜひご覧いただければなと思います。
ただタキさんの動画で僕がなるほどなと思ったのがここなんですよ。
パスキーを入れたから安心ではないということなんですね。
ちょっとさっきも言いましたけども、パスキーというのは多くの場合Googleであったりとか例えばiPhoneであるAppleのアカウントの中に保存されているんですけども、
ということはこの親のアカウント、つまりGoogleであったりとかAppleのアカウントに乗っ取られてしまうと全部まとめて危なくなるということなんですよ。
ですから、いいですか?パスキーを入れたら次はGoogleであったりとかAppleのアカウントそのものの守りを一番固くしておくことが大事なんです。ここが大事です。
Googleには高度な保護機能という一番強い守りの設定も用意されています。
これですね、ぜひ動画をご確認していただきまして、タキさんの動画をご確認していただきますと、僕もそれで高度な保護機能というので使ってやりました。
15:06
ただ、これをやることのちょっと弊害があって、僕実際やったんですよ。
やったら、僕は生成AIたくさんいろんなエージェントを使っているんですけど、そっちも一旦止まっちゃったんで、
生成AI、特にエージェントを使っている方々はこの高度な保護機能、オンにしてもいいんですけど、後でもまた生成AI側から変更したりとか手動で変更することもできますので、
それは今ここでは詳しいお話ししませんけども、そういうことが起きる可能性があるということもご承知いただければなと思います。
あとは証券口座、ここも大事ですね。お金に直結するサービスはやっぱりパスキーを入れた上で、パスワードだけでログインできる道というのはやっぱり閉じておいたほうが僕はいいと思います。
そういう設定が、パスワードだけでログインできる道を閉じておく設定がないかどうかという、それぞれの会社、例えばネット会社でネット証券であればSBIとか楽天とかいろいろあるじゃないですか。
皆さんがお持ちの口座のサイトで確認をしておくということが安心かなというふうに思います。
あともう一つ、軍店免許証、これは免許証とかの身分証明書の画像が漏れてしまったかもしれないというふうには、そういう方は信用情報機関に本人申告というのをしておくことができるんですね。
勝手にクレジットカードを作られるのを防ぐための仕組みでございますので、これも概要欄に窓口をまとめておきますので、そちらから確認していただければいいかなというふうに思います。
最後に社長さんにお願いがございます。
それは何かというと、今日お話しした個人の設定、ぜひ会社から社員さんにも伝えてあげてください。
これはもちろん個々人で設定しなければいけないんですけれども、会社として自分たちの従業員を守るというのが使命だと思いますので、ぜひ今日社員さんにお伝えしていただければいいかなと思います。
会社のメールであったりとか、仕事で使うGoogleのアカウントが乗っ取られてしまうと、それは個人の問題ではなくなく会社の問題になりますからね。
ですので、例えば朝礼で5分でもいいです。
この動画を一緒に見るだけでもいいと思いますし、たくさんの動画を見ていただいていただくほうが僕は一番いいと思いますので、ホームページの管理会社に電話かメールで連絡を1本するということも大切ですね。
あと、社員さんに設定の声かけを1回、それだけで守れるものがぐっと上がりますから、ぜひこれは社長さん、今日のうちにやっていただければいいかなというふうに思います。
ということで、今日も聞いていただきましてありがとうございました。
PHPの欠陥というのはもう狙われ始めています。
これがちょっと怖い話をしますけども、もしかしたらこれがまだまだここからたくさん広がっていくんじゃないかというふうなそういう話もあります。
ですから、まずは会社は管理しているところに連絡して直してもらうだけではなくて、入り込まれていないかまで確かめてもらうということですね。
18:08
作った人と連絡が取れなければ、他の流れからたどってみてください。
そして一人一人はパスワードの使い回しをやめて、パスキーとそしてその親のアカウントを守るということ、守りは会社と個人の両方でやるもんだなというふうに僕も改めて感じたというところでございました。
ということで今日は、PHPの脆弱性、その後どうなった?会社と個人が今やるべき対策というテーマでお送りいたしました。
挑戦が人生だ。Don't worry, be happy.
それではまた明日この時間にお会いしましょう。
今日も元気にいってらっしゃい。
