オープニングとステッカー、お便りのコーナー
梅ソルティ飲みました? 飲んだ。飲みましたよ。
結構、飲んだ、買ったって人結構いたら。 そうなんですね。
聞いてた以上に、というか、想像してた以上に梅だったよ。梅。
どういうこと?どれぐらいの梅を想像してたか全くわかれへんけど。
なんかさ、申し訳程度で梅が入ってる感じかな、みたいな。
あー、そんなに前に出てきてない薄めというか、そういう控えめなのを予想してたんですね。
そう。そしたらもうめっちゃ梅の味がしてさ。 そうなんですよ。
ちょっとびっくりした。
ほら、寝起きに目覚めるっていうかわかったでしょ、理由が。 わかったわかった。
あとね、いや美味しかったすごい。 よかったよかった。
想像よりもずっと味が濃くて、美味しいなって感じで。
あと、最寄りのスーパー行ったら、多分今押してるんだろうけど、
目指すところにドーンと陳列されてた。
期間限定とかね、あとはその時節も考えるとこういうの売れんちゃうかってのがあるもんね。
うん、たぶんね。
よかったよかった。じゃあ結構ね、おすすめのあれをね、
そうでもないぞみたいな意見もありますから。
まあでもおすすめは僕が勝手にしてるだけだから、いいか悪いかは別にあんねんけどね。
別にいいんだよ。それでいいんだよ、そういうもんですから。
そうですね。あれもネギさんが好きやって言ってたやつ何でしたっけ?
ソルティーライチ?
ああ、昔なんかあったねみたいな。
そうそう、全然売ってましたよ。
本当?マジで?
うん。僕コンビニで見かけたし、逆に梅ソルティーなかったけど、
ソルティーライチはあったみたいなことを言ってる方もいらっしゃいましたね。
あれさ、ソルティーライチもさ、俺後で気づいたんだけどさ、
前におすすめのあれで辻さんが勧めてくれたやつはソルティーライチTだよね確かね。
T、T、T。
で、僕が言ってるやつだったら普通のソルティーライチでちょっと違うやつだったね。
白いパッケージのやつかな?
そうそう、キリンかな?なんかのやつ?
世界のキッチン的なやつでしょ?
ああ、そうですそうですそうです。
昔からあっていろんな出てるけどあれだけは残り続けてるんですよね。
そうそうそう、あれはなんかねやっぱりあれが一番…
しっくりくる?
うん、好きだなって味。
分かる分かる。僕も一時期ハマってましたわ、出始めの頃。
あれまだ売ってんのか?
売ってます売ってます。
じゃあ今度買ってみよう。
かなりロングセラーな。
だよね、あれ人気商品だよね。
そうなんですよ。
ほんでね、ちょっとしたというか告知じゃないんですけども、ステッカーの話させてもらいたくて。
この間言ってましたね。
お便りを読んだ人にっていうステッカーあるじゃないですか。
今回、前ほら全部シークレット合わせて6種類あったじゃないですか。
実質5種類ですよね、普段お渡ししてるのってね。
で、新しいやつがですね、追加で3種類できましたと。
はい、もういつでもですね、スタンバイしてるんでいつでも出せるんですけども。
おー素晴らしい。
それ運用どうしようかなっていうのを思っててね。
今のやつを残したまま追加してなのかとかそういう話だよね、入れ替えるのかとか。
期間もあったりとかして、時々復刻とかっていう風な、一旦完全に切り替えっていうのもええかなと思ったんですけど、
第1弾をゲットできてないんですよね、みたいな声もちょこちょこありまして。
なんでね、すでにコンプ、すでにコンプというかもう2、3週してる人もいますけれども、
そういう方々には申し訳ない部分ちょっとあるんですけどね。
毎回8種類の中から抽選するっていう形にしたいなと思ってて、
ただ8種類全部揃えるっていうコンプはシークレットが遠くなるじゃないですか。
なんでシークレットの扱いは8種類のうちユニークなやつを5つ揃えたらにしようかなと思って。
いいんじゃないですか、それは。
ちなみに確率で言うと上がるんですよ、シークレット手に入れる確率が。
5種類をストレートで5回で揃えるのって3.84%なんですけど、
今回からもう2割超えるんですよ。
種類が増えるから当然そうなるよね。
確かに。
期待値で言うと今までは11.42回やればもらえるっていう期待値だったんですけど、
今回から7.1回で揃えられるっていうシークレットがもらえるっていう期待値になるんで、
シークレットは遠くならなく逆に近くなるっていう形にやろうかなと思ってます。
ちなみにですけど、8種類完全コンプリートすると何かあるんでしょうか?
それなー、ちゃんとした結構ええものを追うとかって思うとやっぱ送るとか手渡しになるやん。
そこまでしなくてもいいんじゃない?
僕が思うには8種類中5種類で通常のシークレットがもらえます。
完全コンプリートだと完全コンプリートした人だけの特別なシークレットがもらえますとか、
それぐらいの差ででもいいんじゃないの?何かあったらいいなっていう。
ちょっと考えようか。これもう完全コンプリートですよね。
そう。完全コンプリートした人にも。
Tシャツとかそういうのもいいなと思ってるんですけどね。なかなか渡しにくいっていうのがあってね。
そうね。それは追々で。
そうですね。8種類全部はちょっとまだまだあるかな。
でももう既にコンプしてるからするとあと3つやからね。
もう1週目2週目勢は比較的早く手に入るかもしれないけど。
でもその人たちもまた8種類のランダムなやつの中から手に入ってない3つを選ばなきゃいけないから簡単ではないんじゃない?
一瞬考えたんですよ。そういうTシャツなり何なりちょっとちゃんとしたものみたいなやつを渡す方法を考えたんですよ。一瞬。
Amazonのマーケットプレイスに出してそれを欲しいものリストに入れてもらって僕が買うっていう。
めんどくさいな。
めんどくさいですよね。ちょっと考えますわ。もしこんなんいいんちゃいますとかあれば教えていただければ。
そうね。できるだけ手軽にできるやつがいいと思いますけどね。
そうですね。そんな感じでございますね。
この流れでお便り行こうかなと思ってるんですけども。
お願いします。
今回もちょこちょこたくさんいただきまして、311回アレルギーの子が増えてるって聞きますよねの話で、
子どもは減ってる。チェックの精度が上がった?それとも機械が増えた?と聞きながら思ってたら、
まさにそんな発言をされていて、物事を一面だけ見て判断しない回路がシンクロして膝を叩きましたという。
すごい考えながら聞いてくれてはるんですね。
本当だね。雑談の話じゃなかったっけ?
いや違う違う違う。これはあれです。日齢の件で、学校給食に影響出たっていうのでアレルギーっていう観点僕なかったなみたいなね。
そうかそうか。給食の配達ができないと大変だよねみたいな。
そうそうそうそう。
大体製品選ぶにしてもアレルギーがねみたいな話か。
ちゃんと聞いてる。
本当に。
聞き流すっていう感じじゃないね。
並走なんやではなくて自分の頭で考えながら。こういう聞き方も全然ありがたいですよね。
素晴らしいですね。
そういうので、自分もこういう意見あるでっていうのがあればお便りいただくっていうのもいいかなと思いますけれども。
ずいぶん前に僕が触れたやつをウォッチしてくれてたのか、馬競争場でアレっていう馬がおるっていう話、前触れたじゃないですか。
あーなんか言ってたね。
それのことでですね、スクリーンショット付きでJRAのスクリーンショット付きで、中央競馬での競争場登録から抹消になってるっていう。
あれでもあの馬の話したのってもうだいぶ前だよね。
結構前ですね。
なんかね8月5日に抹消って書いてて。
じゃあ引退なのかな?
いや一応ね調べたんですけど、その答えはなかったんですけどね。
8月5日に抹消されてるんですけど、7月の26日に4日1特別っていうのに出てるんですよ。
地方競馬?
そうそうそう。しかも都市5歳なんでこの子。
なんでちょっと引退、能力的な意味で引退っていうのはちょっと早いかなっていう感じではあるので。
なんでもしかすると怪我してしまったか、あとは地方の転席に切り替えたかのどっちかと思って。
ちょうど移行期間やからまだわかんないと思います。
しばらくウォッチしてればどうなったかというのはもしかしたらわかるかもしれないですね。
なるほどね。
これから地方競馬に登録するとかってあったりするんでこれって。
ちょっと気になりますよね一応。
前に話したとき以来ですっかり忘れてたわ。
マジで?そうなの?
いろんなこういう馬の登録してるのをチェックできるデータベースのサイトみたいなのがいくつかあるんですよ。
全部見たわけじゃないからあれなんですけど、馬の名前とその下とかに名前の由来みたいなの書く欄があるんですよ。
あれの名前の由来書いてまして、あれって書いてた。
なんもわからん。
なんもわからんなこの馬なっていう感じの。
それはそれでおもろいね。
そんな感じでございます。
あれのもはや公式、われわれが公式にしたセキュリティのあれまとめってあるじゃないですか。
リスナーがまとめてくれてるやつ。
すごいちゃんとまとめてくれてるやつ。
あれにですね、大変遅くなってしまいましたがレジデンシャルプロキシの愛称としておまえんち踏み台サービスを追加しました。
実は母さん、助け手詐欺は初めて知りました。
警視庁がツイッターアカウントを作成したことを機に募集したとかなんとかという、こんなところまで調べていただいてました。
そうなんだ。ちゃんとあれ更新してくれてるんだな。
そうなんですよ。内容もちゃんと書いてて、ネギスさんが何回と何回取り上げてて、このプロキシの増やし方はどうだとか。
僕がなんでこういうふうなおまえんちにしたのか。
例えば、ひとんちって一回思ってんけど、自分事として考えてほしかったからこの名前にしたとか、そういうメモまできちっと書いてくれてて。
すごいですよ、このサイト。
このまとめサイト読むだけでもかなり勉強になるよね。
たぶんこれちゃんと読んだらね、僕らも忘れてることいっぱいあるんちゃうかな。
いや、マジでマジで。
昔前にシージャーバナーとか登録してくれてましたよね。これね、用語集みたいな。
差し押さえ届けのやつね。
そうそう、シージャーバナーってあんまり耳で聞かないですよね。我々の外では。
目にする機会もそんなにはないよね、たぶん。
そうですね、あんまないですよね。そういうところ見に行きませんからね、普通。あんまり。
ありがとうございます、この登録していただいて。
引き続きお世話になります。よろしくお願いします。
あとはレポートのまとめ方みたいな話で。
マネージメント向けのレポートなど、相手のレベルを考察するほど意味のないものができることもしばしば。
読み手の理解する気持ちも重要なファクターかも。
そんな読み手が急に脆弱性に騒ぐ昨今の状況を見ると、外部圧力が必要だと改めて思うこの頃。
パッチがいるのは読み手の方かも。
うーん。
なんかちょっと重いな。
なるほどね。
確かにね、まあそうですよね。
書く側とか説明する側が相手のことを重んぱかってそういうのをきちっと作るのも大事なんですけど。
やっぱり読み手のレベル感っていうのも、読み手は何もせんでっていうわけじゃないからね。
この辺は現場と経営層の距離感みたいなものもあるのかなと思ってますけどね。
そうね、バランスというか、読み手の側にも受け止めるだけの力をつけてもらうにはどうするかとか。
何かね、何だろう、底上げ的な話なのかな、分かんないけど。
それが会社の人なのか、もっとより広く一般的な人なのかは分かんないけど。
なんかやっぱさ、読み手とか受け取り手に何かしらアクションをしてほしいっていうことが多いじゃない。
単に知ってほしいだけじゃなくて、知った上で何かしてほしい、行動に移してほしいみたいな。
そこまでやっぱり思ってもらうには、受け止めるだけの能力が必要な気がする。
そうなんですよね。もちろん能力もめちゃくちゃ必要やし、興味・関心を持ってもらうことっていうのも大事ですよね。
まずその辺のきっかけになるような送り側の問題もあるし、受け止め側の問題もあるよな。
一番手っ取り早いのは会社組織とかだったら、そういったものを評価に入れることなんですけどね、お互いに。
でもどうなんだろうね。評価に入れるのがまだいいかもしれないけどさ。
よくある、それが悪いと言ってるわけではないけど、境外化するセキュリティ教育的なやつとかさ。
とりあえず受けてチェックリストとかテスト問題受けて合格したらOKみたいな。
手続き的になっちゃうとさ、あんまりその効果が薄いような気がするし。
無駄なコストになってしまいますよね。それをやるだけね、時間の。
それがどういうやり方がいいのかってのはわかんないけど、評価に入れるか、それも一つあるかもしれないね。
例えばその評価を達成しようとすると、部下と上司でもいいし、現場と経営層でもいいけど、それぞれが一丸となって結果を出さないと評価にならないとかね。
自分たちで考えてやる余地があった方がいいと思うけどね。
例えば会社の中とかだったら、「みんなに資格取れ!」みたいな感じで偉い人が言い始めて、「自分も取るから!」みたいな人がいたりしますよね。
そういうふうなことをしてみるのも悪くないんじゃないかなと思いますけどね。
確かに。
あと、ネギスさんが喋ってくれはったTeamsのビッシンがあったじゃないですか。
前回かな?
これに対して結構疑問というか、「なんでなんや?」みたいなお便りが2つ来てまして、続けて読みますね。
Teamsでのフィッシングが増えてるってネギスさんがおっしゃってたけど、外部アドレスは外部って表示されるでしょ?
なぜ引っかかるんだ?
引っかかる人の人物像になりきれないのはセキュリティ考える上で足りない能力かもしれないが、セキュリティエンジニアはデフォルトで警戒心が強いから難しそう。
もう一つ目が、Teamsでビッシングが増えているとのことですが、常識がドメイン制限していれば起きないのでは?と感じました。
世の中にはそれすらできていない組織が多いってことなのでしょうか?というお二人から来てますね。
誠にもっておっしゃる通りなんだよな。
そうなんですよね。
世の中そう思う通りにはいかないんだよな。
そうなんですよね。
僕もまたこんな疑問というか、なんでこんなのに引っかかるの?と思うし、なんでこんなの防げてないの?って正直本当に思うけど。
そもそもなんで届くねんって話ですよね。
だからなぜそういう制限をしてないのかとか、外部からあったら外部の人って気づくでしょ?みたいなのは、全くその通りなんだが、現実問題それで騙されている人が5万人いるっていう話と、
あとちょっと話それちゃうけど、最近も結構多いCEO詐欺とかさ。
LINEに誘導したりするやつで有名なやつね。
あれだって全然関係ないところからとか、フリーのメールアドレスから連絡が来たりとかしているのに、社長からの連絡だというふうに誤認をして、
LINEグループ作ってそこに追加して、わざわざ誘導したわけでしょ?
そうですね。
そんなの騙されるのおかしいじゃんってみんなは普通思うと思うんだけど、それでだって何千万って被害が出るわけじゃん。
いや、恐ろしい被害出てますからね。
恐ろしい被害が出てるわけよね。
それはもう全く同じで、なぜ防げないんだろうっていうのは全くその通りなんだけど、
多分なぜ防げないんだろうって思ってても防げないので。
そうなんですよね。
本当に多分そういうギャップ、これをあれを聞いてくださっている人たちの常識的な考えというか、レベル、知識とかのレベルと、
実際に被害に遭っちゃう人のレベルって多分ギャップが色々知識レベル的にも、物事に対する常識的な判断という観点とかでも、多分ギャップがすごいあると思うんだよね。
僕もそれは感じるもんね。
ドメイン制限してないんやって、結構僕もこれ驚きやもん。そんなに多いん?って思ってる。
例えばその脆弱性があって、前にもあったけどさ、色々その穴があって、なりすませるみたいなね。
例えばそういう穴があって、内部の人になりすませてアクセスが可能ですとか。
チームでありましたよね、昔ね。
結構その手のやつっていうのは、わりかしこういうプラットフォームでよくある穴だし。
ズームもあったな、急に入ってくるやつとかね。
そうそう、そういうふうに回避するっていう対策をね、回避するっていうのは、これはある程度あると思うんだけど、
多分そのレベルとはちょっと違う。それももっと手前なんだよね、多分ね。
設定で防げる問題ですからね、この入ってくる入ってけへんはね。
実際のところ、そういうところで防げてない被害に遭っちゃうケースが多いっていうのは、
そういう対策を推進する側とか、僕らもそうだし、このあれを聞いている方で、
組織の中でそういうのを進める立場の人は、実際には自分たちが思ってるよりみんなは考えてはくれないぞって思った方がいいと思うんだよね。
そうですね。事実を認めた上で考えていかないといけないですからね。
ありえる、ありえないっていう個人の判断ではなくてっていうね。
ね、いや難しい。
ネギスさんも今おっしゃったみたいにね、CEO詐欺のさっき触れてくれはった話のところで、
フリーのメールアドレスで来てねっていう話あったじゃないですか。
フリーのアドレスから来てるかすら見てへん人いっぱいおるもんな、多分。
そうそうそういうところで、結局名前とかが合ってるとか、電話でも電話口で何かね、
分かってるようなこと言われたらそのまま信じちゃうとか、
あと警察の詐欺もそうじゃん。警察官から連絡があってとかさ、そんな連絡来るわけないのに、
でもまあそれを一定数信じちゃう人がいるっていうのはやっぱりねこれは、
そういう前提で考えないと物事対策が進まないよね。
そう、まあやっぱり偉い人からにしても法執行機関、警察とかからも連絡くるのも非日常じゃないですか。
だから正常を知らんでしょう。っていうのもあると思うんですよね。
慣れ親しんでないことやからこんなこともまああんのかぐらいの感じになってまうっていうのもあるんちゃうかなっていうのは僕は思うな。
確かにね、そういう知識がないっていうのも一つ問題かもしれないね。
はい、そんな感じでございましてですね。
次、看護さんあてなんですけれども、
ピオ看護さんが取り上げてくださったバルンチェックのレポート、お三方のお話から今は攻撃に利用される速度が増していて、
次はその数、率になる可能性があることがよくわかりました。
そしてその先は質といえばいいのか、より深刻な影響がある対象が選ばれていくのでしょうか?という質問でございます。
なるほど。質問。はい。
まあ確かにそうかもね。
そうですね。取り味をどこの軸で見ていくかっていうところですよね。
そうですね。選ばれる、攻撃者側からしてみると、前も触れましたけど使い勝手とか、
あとは広く攻撃ができるとかっていういろんななんかそういう要素がありそうですけどね。
そうですね。
今はなんとなく手当たり次第に見つかってる感じがするし、
なんかほら見つける方もさ、とりあえずいろいろやってみようっていう感じだとすると、
おそらくだんだんその使い方、最新のそのAIモデルのその効果的な使い方っていうのもだんだん使う側が学習していくと思うし、
もっと効率よく見つける方法とか、なんてことはない爆はどうでもよくてそういうのは無視して、
その致命的な行動実行につながるようなものを重点的に探すとかさ、
多分やり方はどんどん洗練されていくんじゃないかと思うで、おそらくね多分だけど。
だとするとまあなんかそういう方向に行ってもおかしくはないよな。
あとは脆弱性で結構生物というか賞味期限があるもんじゃないですか、悪用する側からしても。
なるほど。
だからこれが今一番使いやすいし簡単やし影響範囲もでかいけどっていうふうなところに絞る段階っていうのもあるのかなっていうふうに思う一方で、
やっぱりその旬があるってパッチ当てられるまでに悪用したいからその辺の効率化も図ってくるんやろうなっていう気がしますけどね、
数多く捌くためのノウハウみたいな。
確かにそうですね。
最後のお便りなんですけど、これも看護さんに質問でございますね。
はい。
ここ何回かの配信でメディアが話題に上がっていますが、ピオ看護さんは新聞をよく読まれると伺いました。
世間ではオールドメディアと揶揄されたりもしていますが、どんな読み方をなさっているのかもしよろしければご教示くださいということです。
教示するほどのものではないんですけども。
昔からやり方変わったの?
変わってないですね。もう普通に、普通にっていうのはあれですけど、いわゆる主要誌って言うんですか?読売新聞とか。
多分皆さんでも読んでらっしゃるような新聞を毎日読むっていう、それをひたすら続けてるだけっていうところではあるんですけど。
いやでもそれもすごいよね。主要誌全部毎日目を通してるってね、素晴らしいよね。
端から端まで見るの?
端って、端っていう。
いやなんか、広告とかは見んでいいと思うねんけど。
広告とかテレビ欄とかはさすがに見てないですけど。
テレビ欄見てたらさすがに止めるで。
いやいやいや、息抜きで見てもいいやん、そういうところ。
確かに確かに。
どうやって見てるかって言えば、やっぱりは自分が興味関心が惹かれるトピックがどういうふうに主要誌で取り上げられているかっていう観点で見てはいるのと、
あと、同じ出来事、事案、事象であっても、新聞社っていうんですかね、実際に出している新聞の中身取り上げられ方って結構違ってはいるので。
トーン違うもんな。
そうですね。その辺りの違いを見たりとか、あと純粋に結構オールドメディアって話はあったんですけど、
私たちが普段接している情報の大半ってやっぱりもうオールドメディアだと思っていて、ここであえて言うんであれば。
なので、新聞だからテレビだからとかSNSだからとかっていう色をつけずにやっぱり見るっていうのが一つ大事なんじゃないかなっていうふうには思いますけどね。
一つね、これ関連して僕も聞いてみたかったことがあるんですけど、新聞って別に毎日毎日全部の紙面にサイバー関係があるわけじゃないじゃないですか。
で、サイバーと一見関係ないけどこれやっぱりサイバーのところにも影響あるかもなーってわかりやすいですよ、知性学的な話とかもそうだと思うんですけど、
そういうのはやっぱり気にして、なんかこれサイバーに関連する可能性あるんちゃうかって思いながらやっぱり見てます?他のサイバー以外の直接的じゃないやつも。
あんまり意識はしてないですね。これサイバー関係かなーみたいな。純粋にもうこういうことが今起きてるなっていう感じで見てはいるので。
面で見てるって感じなんですね。
そうですね。なので、本当に今起きてることが何っていう観点で見て、後でサイバー関係の話があるんであれば、
あ、そういえばこれそうだったなっていう形でつなげていくっていうような視点で見てますかね、今は。
どのタイミングでどう関係がつながってくるかってわかんないもんね、なかなかね。
そうですね、結構ね。そこはあると思います、本当に。
はい、わかりました。ありがとうございます。
はい、ぜひ読んでください。
ということで、お便りを読んだ方にはですね、冒頭にもちょっと触れましたけども、
セキュリティのアレ特製ステッカーの印刷コードを差し上げてます。
今回から8種類になりましたので、この8種類が5種類ユニークなものが揃ったら写真を撮って、
僕に揃いましたよというふうに送っていただければですね、シークレット、9つ目のシークレットの印刷コードを差し上げているので、
皆さんお便りですね、シャープ、セキュリティのアレというふうなハッシュタグをつけて、
Xで投稿していただければそれが自動的にお便りになるので、ご意見、感想、
最近こんなことありましたとか、こんなん食べて美味しかったぞみたいなですね。
あと、できれば応援のお便りもいただけると嬉しいかなというふうに。
応援ってあるんですか?
わかんないですけどね。取り上げられにくいと思うけどね。嬉しくなる。僕らが嬉しくなるという。
そうですね。
いいんですよ。僕ら3人のことを切々と僕たちの素晴らしさを語っていただく。
約140文字あふれてもいいんです。そんなのでもいいですからですね。
お気軽にお便りいただければなと思います。よろしくお願いします。
はい、お待ちしております。
ランサムウェアの現状 2026年版レポート
はい、ということでですね、今日もセキュリティのお話をやっていこうかなと思うんですけども、
一番初めは僕、行かせていただきます。
はい、お願いします。
今日僕紹介するのはですね、去年も一昨年も多分紹介したと思うんですけども、
ソフォースが毎年出してくれている7年目になるんですけども、
ランサムウェアの現状2026っていうレポートを読んだぞというお話なんですけども。
僕、最近はでもめちゃくちゃ続いてっていうのはないかもしれないけど、
ランサムの話多いじゃないですか。
まあ、そうね。
とうとうね、僕ね、話取れるんですけど、
ランサムのことを見すぎてなのか、もうちょっとね、体にも影響出てきてるねん。
どういうこと?
あのね、メール書いてたんすよ。
で、ランダムって打たれへんねん。
マジですか。
うん。何回打ち直してもランサムになって、
多分指がね、覚えてるんでしょうね。
で、しかもSとDって隣やんか、キーボード。
とうとうね、ランダム打とうと思ったらランサムになるっていう体になってしまった僕が、
このランサムウェアの現状を読んだ内容を紹介していくぞということなんですけれども、
先ほども言った通り、これ7年目になる恒例のレポートと言ってもいいんじゃないかなと思ってるんですが、
これはですね、過去1年間にランサムウェアの被害を受けた組織に所属する17カ国のITおよびセキュリティ責任者2158名に対してアンケートを取った結果をレポートして、
その内容についてこうじゃないか、ああじゃないかみたいな分析がちょこちょこ入ってるようなレポートですと。
で、これ全部紹介できないので、いくつかの項目というかお題目のところをかいつまんで説明していこうかなと思うんですけども、
まずですね、侵入口の変化っていうところがあって、これは2023年からグラフで載ってるんですけれども、
2023年から去年の2025年までは3割ほどを占めて3年連続1位だったのが脆弱性の悪意をやったんですよ。
これが大幅にダウンしまして18%になったんですよね。
これちょっと興味深いよね。
そう、結構なんか思ってる数字とずれてる感じとか感覚とずれてるなと思ったんですよね。
それと入れ替わる形で上がってきたやつらがおるわけじゃないですか。
悪意のあるメールが26%で1位。
ついでフィッシングが24%。
で、認証の悪用が23%っていう風になってて。
これランサムウェアって言ってるんで、もちろんバラ撒きみたいなのも入ってると思うんですよ。
二重脅迫じゃないようなものもあるかもしれへんし、
あとはこのポッドキャストでも何度か紹介してるクリックフィックスとかで入ってくるランサムギャングもいるじゃないですか。
インターロックとかリークネットとか。
そういうのが押し上げてるのかなっていうね。
ちょっとなんか意外でしたという数字。
僕はあんまり意外には感じなかったのは、
前もちょっとここでも言ってるけど、
ランサムウェア攻撃っていうとVPLの脆弱性みたいなことをずっと国内で特によく言われていたし、
実際そういうのもあるんだろうけど、
ただ蓋を開けてみるとVPNって言いながら実は認証情報を使われてましたとか、
脆弱性じゃないパターンですね。
そうそうそういうケースが結構含まれているっていう話が前からあって、
その認証情報の悪用が実は結構多いのではみたいなことはあったし、
あとは脆弱性の悪用と認証情報の悪用とかっていうのは、
だいたいランサムウェア以外でも他のベラエゾンのレポートとか、
その他のこういう一般的な攻撃に関するレポートを見ても、
だいたいいつも1位、2位って感じなので、
必ずしもその脆弱性の悪用だけが突出しているっていうことはないんじゃないかなとは思っていたので、
そんなに、こんなに急激に減るっていうのはちょっと多いとは思うけど、
そうそうそこなんですよね。
そこまで意外でもないかな。
こんなに綺麗に入れ替わるとは思ってなかったっていうのがあってね。
そうね、それはあるよね。
前にもここでも何回か紹介して、
コーブウェアさんのレポートでも、
結構侵入原因の変化があったりとかしているから、
多分いろいろ全般的にこういう変化はあるんだろうね。
そうですね。
共有会なと思いましたね。
そうね。
今回のレポートから新しく追加された項目、
追加というか今回初めての取り組みですっていう調査内容があったんですけど、
それが攻撃の発端はどこからでしたかっていう、
要は侵入、組織内に被害を及ぶことの根本原因が発生した場所っていうのをアンケートとってて、
一番多かったのがわかりやすいですね。
公開されているアプリやシステムっていうのが38%。
その後がユーザー端末っていうのが30%で、
ファイアウォールが23%ってあるんですけど、
ここで書いてるファイアウォールっておそらくUTMかなんかなんちゃうかなと思ってて、
後から説明するんですけど、
ファイアウォールで攻撃を検知できていましたかみたいな項目があるんですよ。
それ考えてちょっとUTM的振る舞いなことを言ってるような気はするなとは思いましたということですね。
多分僕の推測ですけど。
で、その後VPNが、
先ほども出てましたけどもVPNが8%。
これが結構思ったよりも少ないよね。
少ないですよね。
で、最後がIoTデバイスっていうのは3%。
これで発生箇所についての根本原因の割合を示してくれている表があったんですよね。
で、認証情報の漏洩なのか、脆弱性の悪用なのか、
ブルートフォースによる突破なのかっていうふうなものが示されているんですけれども、
認証情報の漏洩に関しては、
どの原因においても40%を超えているって一番多いっていう感じになってましたね。
公開されているアプリやシステム、先にネギスさんも触れてましたけども、
59%って頭2つぐらい抜けてるぐらいの割合で認証が公開されているシステムで使われていると。
で、あとこの認証、認証っていう話をしてくると、
ほな多要素認証どないなとってんっていう話になると思うんですけど、
それも触れられていまして、
認証情報の摂取がこの大きな割合占めてるんですけども、
じゃあ多要素認証ってちゃんとやってたん?ってことに関しては、
侵害を受けた97%の組織が多要素認証導入済みだったと。
ただ、導入してるって言ってるだけで、
完全に展開されてない可能性が残るっていうふうにレポートでも述べられてました。
例えばテスト用のアカウント、メンテナンス用のアカウントみたいな、
組織外の人が使ったりするようなアカウントもありますけれども、
そういったところの徹底がされていないんじゃないかっていうふうなことが書かれてましたね。
実際、国内の事案とか海外の事案でもそういう事件あったよね。
一時的なアカウントだからMFAが有効になってませんでしたみたいなさ。
そうありましたね。
あるあるだろうね。
で、その二要素認証、多要素認証っていうのは、
引き続き強力なものではあると対策としては有効である場面もあるけれども、
やっぱりインフォスティーラーとかAITMとか、
実質こういうのを無効化してしまうのもあるので、
完璧ではないよみたいなことも触れられていたのは忘れてはいけないポイントだなと思いましたね。
でもさすがにあれだね。
今ぐらいになってくるとほぼほぼどの組織もMFAぐらいは普通やってるんだな。
そうですね。
90、97って相当ですね。
相当だよね。
ほぼ全部って言ってもいいぐらいだけど、
それでもやられてるっていうところは興味深いね。
そうですね。
例えば今言ったみたいなVPNみたいな、
この個特定のやつに対してやってるけれども、
他でやってないとかもあったりすると思うんですよね。
例えばM365では多要素認証やってないとかもあったりすると思うので、
この辺は網羅性を確認する必要もあるんちゃうかなとは、
これを見て思いましたね。
さっきちょっとファイアウォールってUTMのことちゃうんかみたいな話をしたところで、
ファイアウォールの役割っていうのがあって、
これも結構そうなんやと思う数字だったんですけれども、
攻撃の検知、このランサムの攻撃の検知を、
ファイアウォールができたかできてなかったかっていう風なことを聞いてる。
で、それがどの程度ランサムウェアによる暗号化に影響を与えたかっていうのが
共にしてくれていて、
3つあるんですけど、
ランサムウェアが展開される前に攻撃を検知特定した。
ランサムウェアが展開された後に攻撃を検知した。
で、もう最後がランサムウェアの展開前、展開後にかかわらず
攻撃の検知に失敗したというのがあって、
これそれぞれに暗号化に成功した失敗した組織の数の割合が出てるんですけど、
ランサムウェアが展開される前に攻撃を特定した組織ってもう半々なんすよね。
間に合わなかったってことだな。
そうですね。もしくはクライアントとかの保護がちょっと緩かったとか、
いろいろ理由はあるかと思うんですけど、
ファイアウォール、UTMとかのレイヤーだけで検知ってのはちょっと
心もとない数字やなっていうのはこれを思いましたね。
で、僕が最も注目しているのがこれも毎年出してくれている
データの暗号化と復旧について。
これは何で復旧しましたかっていうやつですね。
要はバックアップか身代金かみたいな。
もちろん両方っていうのもありますけどね。
結構こういうのもありますけど、
去年のやつでいうと復旧に成功したって言ってる組織の半分は両方使ってっていうのが
前回紹介してましたけれども、
今回どういうふうな変化があったかというと
バックアップと回答したのは66%ってことで、
前回の過去最低のものから12%増加してます。
かなり増えてる。
ちょっと良くなったね。
ただこの2020年から26年っていう7回の間で見ると4位なんで、
去年が悪すぎたってことなんですよね。
一番悪かったんで。
で、身代金を支払いましたっていうのは48%で、
去年から比べると1%下がってるっていうふうなことではありますね。
で、この24、25、26っていうこの3年間だけで見ると
過去最低っていうふうな書き方をレポートではされてたんですけど、
7年間で見ると全然2023年以前の方が身代金を払ってるのは少ない。
この辺はランサメイヤーの攻撃者の方の洗練されてなさとか
バックアップ潰せてなかったとかっていうのがあったのかもしれないですけど、
依然としてちょっと半分ぐらいっていうのは高いかなっていうような印象を持ちました。
全然高いよね。
いまだに半分が払ってるってちょっとどういうことよね。
そうなんですよね。
バックアップ上がったのはちょっとは良かったかなっていうのはあるものの、
でも身代金変わってないんかいっていうね。
同時にやってるとこも多いんでしょうね、これは。
なるほどね。
だからバックアップは取っていてもそれだけでは完全に復旧できないからとか
なんかあるんだろうけど、
これだけ過去何年にもわたってバックアップの重要性とか
身代金は払わなくてもいいように備えましょうって言ってても
やっぱり結果はこうだっていうのが。
そうですね、これが現状ですよね。
割と厳しいよね、これは。
そうですね。
今話題に上がった身代金なんですけど、
要求額の話も出ていまして、
これ3年間のデータなんですけど、
中央値は2024年が200万ドル、
2025年が132万ドルときて、
2026年は69万8千ドルということで、
この3年間では過去最低で右肩下がりになっている。
平均はもちろん一部の高額支払いがあったりするので、
中央値とはかなり乖離がある数字になってはいるものの、
こちらも同じように緩やかに減少し続けているっていう状況なんで、
前にチェーンジャリシスのレポートの話をしたと思うんですけど、
ランサムギャングの数が増えて、
リークの被害の数も増えているのに、
それと全然逆の方向に行ってる、
ランサムギャングへの創始払い額が逆に下がってますって話しましたけど、
やっぱり身代金の決定プロセス、
組織の規模とか売上高に影響される、
この身代金の要求額のことを考えると、
やっぱりこのレポートからも被害組織の骨深が進んでいってるんじゃないかな、
ってところが伺えましたね。
すごいいろんな身代金を支払ってる率の高い業種とか、
いろいろなものあるんで、
日本語版も最近出たっぽいんで、
読みやすくなってると思いますから、
全体的にさらっと目を通してみてもいいんじゃないかな、
っていうふうに思います。
ランサムで一言で言っても、
こういう変化もあることを考えると、
いろんな経路とか被害規模とかがあるんで、
一概には言えないところっていろいろあるかなと思うものの、
やっぱりネギさんはさっき、
そうかなって俺は思うっておっしゃってましたけど、
認証認可が狙われ続けてるっていうのは、
やっぱりちょっと大きなポイントかなっていうふうに考えましたね。
棚下ろしからこういった地道なところから始めつつ、
変化を見ていくことは大事だなっていうふうに、
改めてこのレポートを読んで思いました。
細かい変化はあるけど、
掃除ってあんまり変わってないんだなっていう。
そうですね。
なんかよくもなってないかな。
いつになったらよくなるんだろうね、状況は。
難しいですよね。
払ってる金額が減っているのは、
そこだけ見ればいいかもしれへんけど、
被害にあって、お金も払えずに大変な目にあっている人たちが、
小さいところがあったとか、
今までよりも小さいところが増えてるって考えたら、
世の中に与える影響って考えると、
あんまり良くなってないもんね、全然ね。
でもやっぱり、これが良くなっていくっていうことの現実なのかな。
だんだん、あんまり支払い率も減らないし、
件数も減らないけど、
でも金額は徐々に下がっていくみたいな。
一旦こういう被害を受けたら、
とんでもないインパクトが出るような、
そういう攻撃じゃなくなっていって、
だんだん誰でもができるものだけども、
受けても大したことはない被害っていう、
ありきたりな脅威になっていくっていうのが、
良くなっていくっていうことなのかな。
なんとなく、僕はさ、もっとシンプルに、
ランサムウェアによる被害っていうのが、
純粋に減っていくっていう未来を想像してたんだけど、
数年前はさ、
なんかどうもそうはならない、ならなそうだよね。
なんか、ちょっとあれですけど、
弱毒化みたいな感じというかね、結果的に。
なんとなくそれで、確かに弱毒化って今いいこと言ったけど、
ウイルスの能力がだんだん下がっていって薄まっていって、
コロナウイルスと同じな感じでさ、
我々に抗体ができてきてみたいな感じですよね。
一発で致命傷にはならないんだけど、
結果被害はあんまり減らないっていうか。
そうですよね。
そういう感じなのかな、これ見るとね。
今のやつもね、中央地みのしろきの頃、
支払い額じゃなくて要求額ですけど、
69万8千ドルって、
だいぶ無害から比べたら3分の1程度になったとはいえ、
円にしたら1億超えてるから結構な額なんですよね。
まあそうだよね、そうそう。
ラクスとかってのは難しいから、
やっぱそのダメージをどんだけコントロールするかというところに
落ち着くのかな、一旦はなっていう感じはしますね。
相手に利益を与えないようにして、
やらせないようにしていく。
収益性悪くしていくしかないような気がしてきたな、
ネギさんと今話してて。
ものすごく大きな旨味のあるビジネスでは、
だんだんだんだんなくなっていけば、
一応成功なのかなっていう感じだけどね。
今その道半ばなのかね。
かもしれないですね。
来年はもう少し明るい話になったらいいのになとは思いますけどね。
でもこれがさらにどんどん金額が下がっていって、
それ以外の傾向はあまり変わらずっていうのが続くと、
多分そういう未来なんだろうな。
そうですね、このレポートを見てて思ったんですけど、
このレポートと同じように、
僕もしっかりランサムウォッチを始めて7年経ったんやなっていうね。
そうだね。
ここまで来たら、いろんなことをよく言いますが、
10年目ぐらいまでは最低でもやろうかなと思いました。
ありがとうございます。
じゃあ次はネギさんいきましょう。
じゃあ今日は僕からはですね、
AIによる脆弱性パッチ生成の研究
AI絡みの話なんですけども、
最近のフロンティアAIっていうと、
どうしても脆弱性がたくさん見つかりますっていう、
そっちでばかり目が向きがちなんだけど、
じゃあ最近のAIモデルを使ってパッチ作らせたら
どれぐらいいいものできるのよっていうのを
ちょっと評価してみましたっていう、
そういう研究論文がワンパスワードから出ていまして、
ちょっとそれを紹介したいんだけども、
詳しい論文自体は結構5、60ページくらいある
結構なボリュームのものなんで、
全部は僕も読んでないし分からないんだけど、
ちょっと要約したブログの記事が公開されているので、
それを紹介しますけど、
まずどういう方法で
フロンティアAIのパッチ生成の能力っていうのが
どんなものかっていうのを評価したかっていうと、
まず対象にしたのは代表的な、
直すのがそんなに簡単ではない複雑な脆弱性で、
かつ最近のもので、
オープンソースのものっていうのを選びましたと、
6個選びましたと。
これ一応理由があって、オープンソースのものだと、
多分そのAIモデルも行動は学習してますよねと、
トレーニング済みでしょと、だから修正やろうとめば
できるはずですよねっていうのと、
あとその最新の脆弱性であれば今度は逆に
そのパッチはまだ学習してませんよねと、
だから純粋にそのAIモデルの推論の能力を使って、
まだ知らない脆弱性に対してパッチを作るっていうのの
能力を評価できるのではないかと。
そういう理由でその最近のオープンソースの
6個のCVEを選びましたと。
これ結構いろんなやつが入ってて、
例えば最近のちょっと名前がついて有名になった
コピーフェールとかのリダックスの。
はいはい、権限掌握のやつですね。
そうそう権限掌握のやつとか、
あとChromeの脆弱性とかブラウザのやつもあるし、
いろんなパターンのものが含まれていて、
でもどれも共通しているのは直すのがちょっと難しいと。
はいはい。
なんかコード一行直して成功とかそういうものではなく、
まあまあわりかし難しいようなものをやらせましたと。
で、評価対象にしたAIのモデルっていうのは
代表的なオープンAIのGPT5.5ってやつ。
今最新は5.6なんで、その1個前のやつだね。
それからアンソロピックのオーパス4.8っていう、
まあこれは一応最新モデルかな。
フェーブルよりもちょっと落ちるけども、
まあでも公開されている中ではかなり強力なモデルですね。
で、あと加えて、
この2つともどちらも一般的に公開されているモデルを
ただ使ったわけではなくて、
いわゆるサイバーセキュリティ用途向けに
公開されているプログラムっていうので、
オープンAIはTrusted Access for Cyberっていうのをやっているし、
あとアンソロピックはサイバーベリフィケーションプログラムっていう、
まあ要するにセキュリティの専門家とか、
あとその修正とかそういう良い目的に使う人は
承認済みであれば使ってもよろしいっていう、
まあそういう承認プログラム付きのやつってのがあるんだけど、
それを使うと一般公開モデルよりも
ちょっとそのガードリールが緩くなっていて、
攻撃には使っちゃダメだけど、
あなただったら使わないから信用してますよっていう、
そういうやつだよね。
そういうモデルをワンパスワードの研究者も使いましたと。
一般公開モデルよりはおそらくちょっと
能力的に高いものを使っているということですね。
これらの2つのモデルでさっき言った6つのCVに対して、
いくつか条件をいろいろ変えて、
例えば与えるプロンプトの条件を変えるとか、
いろんなパターンを組み合わせて、
何十個かパターンを作って、
各その実施条件1個あたり、
各CVで20個パッチを作らせると。
AIって確率だから必ずしも成功するとは限らないので、
とりあえず同じ条件で20回走らせましたってことだね。
同じこと言っても違うこと言ってきますもんね。
そういうことなんで、
1個のCVあたり1個の条件で20個作らせて、
全部でCVあたりで540個のパッチを作らせましたと。
それが6個なんで、
1つのモデルあたり3000個ぐらいのパッチを作らせて、
それを評価しましたと。
ちゃんとそのパッチが本当に贅沢性を修正できているかどうか
ということを確認しましたっていうことね。
結果どうだったかっていうと、
まず結論から言うと、
平均して、これは全部の6個のCV、
全部の条件で2つのモデル全部合わせた平均値で、
ちゃんと完全に贅沢性の修正に成功した。
これならOKですっていうものが、
なんと26%しかなかったと。
低いなぁ。
ということで、このワンパスワードの研究者も
予想よりも大幅に低かったと言っているのね。
一応半分成功というか、贅沢性は直したんだけども、
それ以外に余計な修正もしちゃって、
アプリケーションの挙動が変わっちゃったっていうものが。
それ困りますよね。仕様が変わってるもんね。
それは完全に成功とは言えないけど、
一応贅沢性は直したねと。
そこだけ見ればね。
一応9台点ですねというものが20%含まれています。
じゃあ40%か。
両方足すと46%で、逆に言うと、
今の半分成功も含めて一応成功だとしても、
残り54%は贅沢性の修正に失敗しましたと。
ということで、CVEごとに結構ばらつきがあって、
多分AIにとっても得意不得意ってあると思うんだけども、
6個のうちものによったら7割8割成功したやつもあるんだけど、
全体ならして平均すると成功は26%。
プラス中途半端なやつが20%ということで、
思ったよりも低いという結果が出ましたということね。
成功したものの中でも、
直し方がいまいちってやつがどんどんあるらしくて、
直し方がいまいち。
例えば脆弱性の根本原因がロジックにあるんだけども、
攻撃を止められればいいよねっていう短絡的な修正で、
例えば入力の文字列から悪意のあるものをエスケープして
ブロックするっていうことだけをして、
コアが直ってないですね、根本的なところがね。
そうするとコアの問題のあるロジックが全く直ってないので、
仮に今回のは直せてるって判断はしたけども、
別の経路で入力が来るようなもし贅沢性が見つかったら、
それまた発火しちゃうんだよね。
そっか、脆弱性の修正じゃなくて、
入ってくるものの無効化をしてるだけですもんね、そこはね。
そういう直し方っていうのが、
さっきの成功したっていう4割の中に結構含まれてるんだって。
それはちょっと直したって言われへんな。
そう、ちょっとそれを成功って言っていいのかなっていうのも結構入ってます。
ちょっと想像してたこの研究者たちが思っていた以上に、
ちょっと成績が悪かったというのが結果的には出ましたねということで、
もちろんこれのいろいろモデルによっても差が若干あるし、
ただ若干あるとは言っても、
そこまでその2つのモデルに大きな差はないんだけど、
CVとか与える条件によって多少ばらつきは出るが、
総じてあんまり成績が良くないということですね。
なんかこのブログ記事のタイトルにまんま言いたいことが出てる。
わかりやすい記事ですね。
ブログの記事のタイトルが
スティル・リクワイヤー・エキスパート・ヒューマンレビューっていう。
そうそう。
まさにっていうわかりやすいタイトルやなと思って。
で結局その課題として、これ前に看護さんが紹介したやつあったかな。
ハギングフェイスさんの事件でもあったけど、
攻撃と防御の非対称性っていうの。
ここでもやっぱり出ていて、
攻撃する側は上手くモデルを使って脆弱性を見つけて、
攻撃を実行できる行動を生成するっていうのを、
何百回かやって、とりあえず走らせてみて、
成功すればOKって感じじゃない。
一個でも成功すればOKって感じだけど、
直す方はさ、
何百回もやってどれか一個だけでも当たってればいいやでは困るわけで。
確かにそれは困りますね。
なおかつ確かにちゃんと完璧に修正できてるねっていうものを、
今回のようにプロの人間の目でレビューしないと判定できないのでは困るわけだよね。
とはいえ例えばマイクロソフトやらグーグルやら、
実際に自分たちでAIのモデルも開発して、
ハーネスやら何やらいろんなエージェント複数組み合わせたり、
たくさんのモデルを組み合わせて、
効率よくちゃんと本当に修正できるような仕組みを作っているところは、
ちゃんとそのAIを使っても、
こういう今回の論文で言っているようなことが起きないように、
頑張ってやっていると思うんだけど、
そういう仕組みを作らずに、
単にそのフロンティアAIのモデルだからできるだろうと思って、
例えば贅沢性を修正させようと思っても、
現実はそんなに甘くないですよっていうことで、
これを単純に攻撃側がAIを使って贅沢性をいっぱい見つけるんだったら、
防御側もパッチをAIで作ればいいじゃんっていうふうに、
実はなってないよねっていうことが、
この研究論文からは言えて、
結局人のレビューがいるんだったら、
あんまり効率よくなってなくないっていう。
結局そこは人手ですからね。
一応コストの比較なんかもこれ論文で書いてあって、
AI使った今回のモデルを使った1件あたりのパッチの生成って、
1個2ドルとか3ドルぐらいなんて比較的すごい安いので、
数がそんなに多くなければ、
別にコスト的には全然問題ないというか、
人間雇いよりもだいぶ安く済むんだけど、
でも結局最後にプロの目でレビューしなきゃいけないんだったら、
あんまり変わらなくないっていう。
だったら最初からプロに直させた方が早いんじゃないのみたいな話。
手戻りもないしみたいなね。
そうするとさ、前も言ったけど、
結局パッチを作って適応するっていう、
後ろの部分は人手が全然必要で、
あんまり効率よくAIでできないんだったら、
そこがボトルネックになっちゃうから、
あれ、それじゃあ問題は解決しませんなっていう話になりそうだなっていうのを、
問題の一面ではあるけども、
今回の研究論文は一応その辺をかなり詳しく調べているので、
ちょっと面白いなというか、興味深かったですね。
そうですよね。これでもその問題に加えて、
ちゃんとしたパッチが作れるのか問題とか、
あとは中途半端な直し方じゃないですよねっていうことに加えて、
次にはこれ当ててほんまに大丈夫かもありますもんね。
そうね。あとさっきちょっと説明はちょっちゃったけど、
まずいやつは脆弱性直すことはできたけど、
新しい脆弱性を生み出しちゃってるパッチがあったりとか、
脆弱性直さないだけじゃなくて、さらに仕様の変更だけじゃなく、
問題のある変更を加えちゃうものとか、
問題が結構多いものがかなり含まれてるらしいので、
そうなるとね、それをちゃんと監督するものが必要になってくるし、
そういう仕組みをちゃんと作ればできるのかもしれないが、
思ったほど簡単ではないなっていう。
そうですね。ちょっとまだもう少しというか、
まだ倍以上修縮度が必要な感じがしますね、これはね。
でも攻撃する側とか脆弱性を見つける側の方は、
どんどんどんどん先行ってるからさ、
直す方がちょっと追いついて楽ないっていう。
今、僕も聞こうと思ったら、にぎさんの答えを言ってくれたんですけど、
新たな脆弱性を生むっていうのはやっぱりあったんですね。
あるある、あったみたい。
割合的にはそんなに多くない、数パーセントだけど、
やっぱりそういうミスっていうのを起こしちゃうんだって。
それもまた大きな問題だよね。
いやー、そうですよね。下手したら修正もろくにできずに、
新しい脆弱性作っただけですもあり得るわけでしょ。
そう、ものによったらあると。
ちょっとなんかこれはどうなんですかね。
良くなっていくような気はしなくもないけど、
今だとちょっとこれはあんまり効率的じゃないなっていう。
楽になってないなって気がしますね。
ちょっとね、だから上手く使うにしても、
使いどころというか使い道を考えないといけないし、
そうですね。
使い方を工夫しないと、ちょっとそのままではまずいねっていう。
まあ、いずれにせよこういう人が監督して、
品質の管理っていうところはまだまだっていう部分になってるのを
改めて思いました。
そこがしばらくボトルネックになりそうだね、この状況だとね。
そうですね。
僕、AIって上司と部下みたいな感じに似てるなと思ってて。
誰しもが上司になったんですよ。
AIが生まれることによって。
なるほどね。
結局、部下がしっかり動くためには
的確な指示をしないとダメじゃないですか。
部下が、わかりました!って的確な指示を聞いて
あげてきたものであったとしても、
それをどっかに出したり使ったりするんであれば、
上司がレビューしないといけないじゃないですか。
それとめっちゃ似てるなっていうのを、
これをいつ脱却できるかってとこですかね。
次の進歩はね。
能力の高い部下が育ってくれればいいけどね。
そうそうそうそう。
ちょっと言い方はよくないけど、
使い物なら部下がいっぱい増えてもどうしようもないもんね。
そうそうそう。
あとはほら、注文する僕ら側、
上司がダメでも部下がうまく動けないんでね。
本当にそう。
そことやっぱり両方とも上がっていかないとダメだよね。
そうそうそうそう。
その辺の変化ちょっとこれから楽しみにしていきたいなと思いました。
はい、ありがとうございます。
じゃあ最後は看護さんです。お願いします。
npmパッケージへのソフトウェアサプライチェーン攻撃
はい、最後ですけども、
今日私紹介するのは、
8月に入ってからNPMのパッケージに対して、
どうも侵害っていうのかな。
よろしくないコードが含まれているものっていうのが
多数確認されてるよっていう話が出ていまして、
関係者の方は結構影響を受けられていないかっていうところを
調査とかされていたんではないかなと思うんですけども、
今日はちょっとその件を取り上げたいなと思ってるんですが、
なんかこれどっかで見たなみたいな感じの。
いやーなんか何回目なんやろこういうのっていう感じがしてるんですけどね。
またかーってついつい口に出てしまうような、
そういう事案ではあるんですけども、
NPMパッケージが侵害というか改ざんをされて、
よろしくないコードが実装されてしまう状態になって、
それを他の、今回のケースでいうと他のNPMパッケージの開発者の方が
例えばそれをインストールという形で使われてしまうと、
今度はその開発者の方が実際に自分で開発しているNPMパッケージが
汚染されてしまうというような、
いわゆるワーム的な広がり方を沢山してしまうというところで、
ただちょっと今回は3月の時もちょっとすみません、
細かい数字持ってないんですけども、
ただそれも遥かに大きいなと思ってて、
400個を超えるパッケージで感染確認したなんていうのを
ベンダー報告していたりもするので、
結構な規模で影響を受けたNPMパッケージ多かったのではないかなというところですし、
あとですね、今回汚染されたというか改ざんされてしまったパッケージの中には
Keebというんですかね、Keeb Value Storeのライブラリーなんていうところも含まれていて、
これが結構な数使ってらっしゃる方がいるのかなとは思っていて、
影響を受けられた方も層にいたんではないかなと、
ちょっとその辺りの細かい数字とかっていうのは私もないのかなと思うんですけども、
単純なその利用者数とかでいけば結構な数、本当に一週数億回とかっていうレベルで
ダウンロードされているような規模のものが含まれているという話ではありましたので、
影響を受けられている方も層にいてもおかしくない状況だったのかなと。
ここで先ほど私お話ししたワーム的なスクリフトというのかな、
そういったものが含まれていたんですけども、どうもそれについてはシャイフルードって言うんですかね、
過去にも出てきていましたけども、今回もそのタイプのものが確認されたと、
マッシュではあるんですけども、それが確認されたと。
ちょっとこれだけで貴族というか特定するっていうところまでは至れないのかなと思いつつ、
過去の流れからいけばチームPCPが関わっていたと考えても全くおかしくないケースかなと。
ここのあれでも前に紹介したよね。
そうですね。
本当に連鎖的にどんどんどんどん広がっていくやり口なんていうのはまた君かぐらいな感じではあるんですけども、
やり口も非常に似てはいるんですが、今回ちょっといやらしいなと思ったのは、
様々な情報を実際に開発者の方が感染してしまうと情報が盗まれてしまうというところではあるんですが、
その盗み出す情報の先の一つとしてCIというんですかね、開発に使っている環境からの情報も盗み出すと、
メモリー上に残っているそういった情報もどうも今回対象にはなっているというところではあるので、
単純に文字列として認証というかシークレット、キーを入れてないから大丈夫だっていうだけの話にはならなくて、
ランナーですけどもそのランナー上に実際にメモリーとして残っているデータも、
実際今回のWARMの中では盗み出す機能があるっていう話ではあったので、よりしつこい機能が付け加えられたというか、
手口としては少し変わってきているポイントがあるのかなと。 ごっそりいくんすね、じゃあね。
しかもそれがね、ほぼほぼ自動的に広がっていくっていう動きなんていうのは非常にいやらしいなというところではあるので、
いろいろそのNPM自体も対策対応っていうところはされてきているところではあろうかなと思うんですけども、
そうであっても今この状況とかを見るとまだまだそこの効果っていうところについては十分に出てきてないっていうんですかね。
効果が出てない状況なのかなーっていう、攻撃者からすれば狙い目っていうふうには見えてしまってもしょうがない状況なのかなと。
ちょっと開発に関わっていらっしゃる方がどれぐらいいらっしゃるかわからないんですけども、
開発に直接関わっていなかったとしてもそのライブラリーを読み込んでいるとか、結構依存関係広いところかなと思いますので、
なかなかちょっとこの辺りの動きを追いかけていくって結構難しいと思うんですけども、
攻撃者からすれば狙われていくところ領域になってきているのかなと思うので、
ちょっと注意して見ていった方がいいのかなというところでご紹介をさせていただきました。
ワーム的な動きのやらしいところっていうか、前もあったけど、
今回のキャンペーンでクレデンシャルが盗まれるのに影響があったタイミングでちゃんと対処全部できてればいいけど、
400何パッケージとかわかんないけどその後いろいろ影響を受けたところが、それに例えば気づかずに対処が漏れている時に、
また時間差で同じような攻撃が発生するとかさ、今回のチームPCPなのかどうかわからない、
アクターはわからないけど似たような攻撃が何度も何度も繰り返される。
さっき寛吾さんが話しちゃったけど、ここのあれでも何回も取り上げてるし3月から、
毎週とはそこまでは言わないけど、またかみたいなのが次から次へと起きててさ、
全然止まらないっていうのは、これはなんでなんっていうのと、
オープンソースのパッケージの開発の仕組み自体が、
いろいろさっきそのNPMも先月だからリリースされたやつからセキュリティ設定変わったし、
あとNPMに限らないけど、いろいろアップデートもクールタイムも置けましょうみたいなのが今は言われていて、
すぐにアップデートしといて1日3日とか、
様子見用な期間がありますもんね。
間を空けてからアップデートしましょうみたいなのが、設定でできるとかいうのがあるけども、
結局根本的に対処はやっぱりできてないのかなっていう。
やっぱり人なんですかね、そこは。
人だよね。
多分そのデベロッパーとかメンテナーとか人が狙われてるとすると、
そこは止めるの難しいよな。
そうですよね、なんていうか。
なんかちょっとパッチ当てておしまいっていう話には当然ならないでしょうから。
なんかこういうの今も本当は冒頭でも僕言いますけど、これ何回目やっけぐらいに思うみたいな。
本当そう。
そう見てて思うのと、後裏で動いてるのはPCP、チームPCPとか関連案じゃないのみたいな話もあったりするじゃないですか。
これ何がきっかけかも分からないですよね。
前のやつとこれ関係あんのか、新たな件なのかっていう関連性のあるなしも見えへんなっていう感じがするというか。
最初に被害を受けた人は自分では分かるんだろうけど、
そうですね。
そういうのが全部出てこないしね、被害の前容も正直よく分かんないしね。
そうなんですよね。対外的に調査してさっきの400とかって数字は出てはいますけど、
本当に400なのかとか、そのあたりっていうのは誰も保証できないところではあるので。
アクシオスの件あったじゃないですか、前に。
ありましたね。
あれはほらソーシャルエンジニアリングが初期アクセスだったでしょう。
そうだね、あれはなんか北朝鮮がとかっていう話があったやつね。
そうそうそうそう。また別のアクターというふうにお墓式っていうやつですけど、
これは初期アクセスは明らかにされてないんですよね、多分。
私が見てる感じだとないかな。やっぱりライブラリー側でちょっとそういった異変というか、
なんでこれが入ってるのっていうところから気づいたというか。
その辺の原因究明も明らかにこんな連絡があったんですみたいな、
アクシオスみたいなのがあればめっちゃわかりやすいと思うんですけど、
過去に起きた同じようなこういう流れの、結局芋鶴式の鶴の1個でしたみたいなやったら、
いきなり侵害されて原因がわかれへんものがこの後いっぱい出てくる怖さっていうのがあるなと思った。
気をつけようがないみたいなものの怖さもあるなっていうふうにはちょっと感じましたね。
ですね。
まあなんか過去のね、このキャンペーンでもいろいろ原因はGitHub Actionsの問題だとか、
多分いろいろ経路はあるんだろうけど、結局のところね、こういうオープンソースのエコシステムって、
こういうパッケージとか、あとその開発プロセス自体がオープンになっているから、
いろいろ入り込む余地、隙がいっぱいある。
そうですね。付け隙がね、いくらでも。
攻撃対象が全部見えちゃってるから、そこは正直このモデル自体の問題だから、それは防ぎようが多分ないと思うんだよね。
構造上の問題みたいなやつですね。
そうそう。その人の動きを完全に隠すわけにいかないし、
例えば仮にGitHubっていうリポジトリを介してやってるんだったら、そのリポジトリ内の動きっていうのは全部見えてるわけなんで、
そこに第三者が介入する余地っていうのはもういくらでもあるわけで、
それがもし問題だって言い始めたら、オープンソースで開発なんてできなくなっちゃうから、
それは良いとしたとして、その上でどう防ぐかっていうことを今みんな一生懸命考えてるんだけど、
なんかね、それがちょっとうまくいってないなっていう感じはあるよね。
今更それを使わない世界には戻れないですからね、多分効率考えたらね。
いや無理でしょ、それはもうちょっと無理なんで。
でも無理だとはいえ、ソフトウェアサプライチェーンとか、あとさっき話してたAIの話もそうだけど、
AIも結局、まあクローズドでもできるけど、やっぱりオープンソースのコードの連絡性を探そうが得意なわけで、当然だから。
そうですね。
だからこういうオープンソースのものっていうのはそういう攻撃にもさらされるわけで、
なんかね、そういうのがちょっと今までのそういうその開発体制とは違う問題っていうのが、ここにきてなんかワッと出てきたなっていう。
その側面って感じですね。
そうそう、今までうまく善意の開発者たちが頑張ってうまく回してたやつに悪意が入り込んできたっていうかさ。
昔ネギスさんが紹介してくれたやつやったっけ、なんか信頼関係作ってみたいな。
長年悪させえへんかったのに急に悪さするっていうメンテナーか何かの権限もらってみたいなやつありましたよね。
そういうのも昔からあったね。
その辺もやっぱ構造上の問題って感じはしますね、やっぱりね。
いやー難しいっすね、こういうのは。
やっぱなんか狙いどころなんすかね。
そうです、たぶんそうなんでしょうね。
なんかどっかで見たなと思ったらやっぱり先日のイギリスの、これアイシーって読むんですか?
はいはいはい。
非常に深刻な事例みたいな中の一つで話されていた中で、実際ミトスが行ったと見られる話の中にも悪意のある行動を含むプルリクエストを提出していたとかって。
あれすごいよね。
すごいすごい。
しかもさ、他のエージェントがメンテナーに承認を迫っただろうなんだろう。
そうですそうです。
人やんけっていうね。
いやーね、本当にやっぱり狙いどころとして目をつけられるポイントなんですかね、そこは。
すごいけどさ、でもAIがやってるってことは過去に人間がやってるからなわけで。
そうですね、それを参考にしてるわけですからね。
それはたぶんその効果的な方法ってのを人間が過去にやってるわけだから、そりゃAIもやりますわなっていう。
いやー恐ろしいな。何かしら使うという前提で何とかしていかなきゃ問題だなっていうのは思いましたね。
はい、ありがとうございます。
はい、ということで今日はセキュリティのお話を3つしてきたんで、最後におすすめのあれなんですけれども、
おすすめのアレ：レインボーラムネ
今日もちょっと食べ物なんですが、
おいしさは優しさでおなじみ、ユーハ味覚糖ですね。
キャッチフレーズ知らんかった?もしかして。
いや、知ってる知ってる。
がですね、出してるレインボーラムネっていうやつなんですが、
これね、元々ユーハ味覚糖が作ってたわけじゃなくて、奈良県に生駒っていうところがあるんですけど、
そこの生駒製菓本舗っていうところで作られてたものをユーハ味覚糖が引き継いでみたいな感じなんですよ。
あーそうなんだ。
でもこれもうむちゃくちゃ昔からあるやつなんですが、元々はもうここに行かんかったら買えなかったんですよ。
工場直売のみで売られてた。
いろんなところでちょっと幻のみたいに言われたりするぐらいちょっと手に入りにくいものやったんですよね。
で、なんかね、SNSかなんかで一回バズったかなんかして、
ふるさと納税で抽選倍率40倍っていう。
えーそんなことあったの?
そう、1000セットが最短8分で完売ってなったことがあるってこのウェブサイトにも書いてるんですけど。
あー確かに今なんかサイト見たらちょっと確かにかわいいなんか。
そうそうそうそうそうなんですよね。
これを通販で買えるんですよ。
ただ一応数量は決まってて月2回配送の予約販売っていう感じなんで、
例えば今頼んだら8月発送部みたいなんで、場合によっては9月到着、上旬到着とかかもしれないですけど、
ちょっとそれは地域とかタイミングによるとは思うんですけど、
そういう風なので、僕もこれ見た時から気になっててですね、頼んだ。
じゃあその若干時間はかかるけど、過去にバズった時みたいな入手困難ってほどではないわけ、今は。
そこまではエグエストなくはないですね。
昔はそういう奈良の工場で作ってたから、生産ラインもそんなに大きくなかったんだと思うんですよ。
そっかそっか。今はユーハン味覚棟がやってるから。
生産者と販売者って違ったりするじゃないですか、食べ物って。
それ今の僕のところに届いたやつで見たら、両方ユーハン味覚棟とユーハン味覚棟の子会社っぽい感じのところの名前になってたんで、
生産ラインが多分確立してて大きくなってると思うんで、
なので今頼めばまだ8月発送分があるってことはまだ全然手に入りやすくはなったってことなんですけど。
これさ、見た目が過去にバズったのでもわかるけど、めちゃくちゃ見た目が可愛いらしい、色も可愛いらしいしさ。
そう、いくつか色があるんですよね。
そもそも味自体はどうなの?ラムネとしての。
そこ大事ですね。
たびたびお二人にも言ってるかもしれないですけど、僕味だけじゃなくて食感結構大事なんですよ。
あー、ほうほうほう。
なんかもう味は別に落ち着いてみたらそうでもないんだけど、この食感で俺無理やわみたいな食べ物とかも結構あるんですよ。
あー、まあ確かにそれは重要なポイントだよな。
これサイトにも書いてるんですけど、カリ、ホロって書いてるんですけど、ちょっと外側はちょっと固めなんですよ。
でも中はね、ポロポロポロポロみたいな感じで、口どけがいいというか。
えー。
でなんかね、僕そのラムネって、食べる方のラムネってそんなに別に好きでも嫌いでもないし、
目の前にあってちょっと小腹空いてたらつまむかなぐらいの好きさだったんですよ、ラムネ。
でまあ見た目もあれやし、これ個包装とかで6袋入ってくるから、出先でね、それこそ収録前とかにネギさんとか看護さんにあげてもいいかなと思ったんで買ってみたんですけど、
自分で食べてみたらね、止まらないんですよね、あんま。
美味しいなこれな、みたいな。
えー。
ラムネってこんなんやったっけっていう感じ。
感じがしました。
本当に個人的なイメージで申し訳ないけどさ、なんか子供の頃に食べるおやつっていうイメージがやっぱり。
確かに大人になったらあんま遭遇しませんよね、チョコレートとかと比べるとあんまり遭遇しないですよね。
そう、なんかほら例えば飴とかさ、まあ飴はね、たとえばのど飴的なのもあるし。
あー、僕らよく舐めてますもんね、のど飴ね。
飴とか、なんかそういうものは大人になっても普通に口にするけど、チョコレートもそうだけどさ。
そうですね。
ラムネってなんかあんまり口にする機会ないなーっていうね。
確かにないわ。
えー、でもちょっとなんか、これは見た目もあれだし、その今の聞いた感じの食感もなんか良さそうだし。
うん、そうなんですよ。
ちょっとちょっちょーだい今度 あの2箱買って部屋の人に配る用語みたいな感じで
それは結構僕好きなんですよ。打ち合わせとか行くじゃないですか
でなんかちょっとこう ベタじゃないでも知ってるみたいなとかを渡す、あげるの結構好きで
あ〜たしかに
例えばちょっと前の打ち合わせで行ったときに出したのが
重室に聞くんですよ相手に僕あの 笛ラムネ食べますって言ったりとか
ピーピーピーピーなるラムネあるじゃない ですかああいうなんか昔懐かしいけど
もう最近まだあったんかみたいなお前 まだ生きとったんかみたいなやつとかを
出したいとかちょっとくすっとさせる っていうのも好きでやってるんで結構
人にあげるようのこういうちょっとした お菓子みたいな2人の分もちゃんとあるん
でありがとうございます今度持っていきます 来年の1月まで賞味期限あるやつなんで
大丈夫です楽しみにしてますちなみに ねこのあのウェブサイトを見ていただけ
ばわかるんですけども紹介が書いてね 初めて出会う幻の一粒っていうふうに
書いてるんですよそこに猫ポイント1ポイント 2みたいなこと書いてるんですね例えば
優しい甘酸っぱさが口に広がるピーチ味 とかね
書いてるんですけど一つだけなんかよく わからんことが書いてあって外は刈り中は
ほろまるでたこ焼きのような口づけそれは 違うって思いましたね
確かに言いたい言いたいことはわかんねん けどちょっとちゃうねんなたこ焼きは
別に柔らかいのもあんで外もっていうね 感じがあってちょっと
勝負致しかねるコメントもあったんですが あの物自体は美味しいのでもしよかったら
早めに注文した方がいいと思うのではい ちょっと時間かかると思いますが気になった方は
頼んでみてはいかがでしょうかということで ございますはいはいということでまた次回
のお楽しみですバイバイ
