情報漏えいで例外的措置に注目
日本政府は、GMOインターネットが関係するサイバー攻撃で盗まれた個人情報が公開されたことを受け、緊急サイバーセキュリティー対策の一環としてウェブサイトの遮断を検討する方針だ。総務省は10月27日、さらなる被害が現実的に懸念されるとして、情報を掲載したサイトへのアクセスを防ぐよう国内の通信事業者に要請した。
目次
要請は業界団体を通じて大手通信事業者に伝えられた。利用者がどこに接続しようとしているかを事業者が確認し、対象サイトへの接続を拒否する措置を求めるものだった。この対応をめぐっては、情報を盗まれた人々の保護と、通信内容の監視からインターネット利用者を守ることという、二つのプライバシー保護が争点となっている。
その後、ドメインが停止され、ウェブサイトにはアクセスできなくなった。米国の事業者が停止措置を取ったとみられている。日本の通信事業者による遮断は実施されなかったもようだ。
政府は現在、遮断の法的課題や、盗まれた情報の悪用を防ぐほかの方法について検討する方針だ。検討の完了や緊急対策の導入時期は示されていない。
情報公開後に何が起きたのか
今回の事案は、GMOインターネットグループの外国為替証拠金取引（FX）関連サービスで発生した。こうしたサービスでは、顧客が証拠金を預けて通貨を取引する。ウェブサイト遮断の議論で差し迫った懸念となっているのは、不正アクセスで取得された個人情報が公開されたことだ。
政府の要請は、情報の公開からウェブサイトへのアクセス不能化までの間に行われた。
- 10月27日以前：不正アクセスにより、GMOインターネットグループの外国為替証拠金取引関連サービスが被害を受けた。
- 10月27日：攻撃者が事案で取得した個人情報を公開し、総務省は国内事業者にサイトへのアクセス遮断を要請した。
- 公開後：サイトのドメインが停止され、アクセスできなくなった。米国の事業者が対応したとみられている。
- 事案発生後：政府は緊急サイバーセキュリティー対策に、ウェブサイト遮断の検討を盛り込む方針を示した。
何が起きたのかを理解するうえで、要請と実際に実施された制限を区別することが重要だ。事業者はアクセスを遮断する準備を求められたが、サイトのドメインに対する措置によって、そうした遮断を実施する差し迫った必要性はなくなったとみられる。
政府がアクセス停止を求めた理由
最初の侵入が終わった後も、個人情報の流出は本人に被害をもたらし続ける可能性がある。いったん公開されると、複製され、ほかの人に渡されることもある。情報の内容によっては、犯罪者が詐欺メッセージを巧妙にしたり、さらなる被害を与えるために個人を狙ったりするおそれがある。
総務省が示した懸念は、二次被害が現実的に起きる可能性だった。つまり、情報が盗まれた後、その利用や拡散によって生じる被害を指す。ほかの対策が取られる間、公開サイトへのアクセスを止めれば、データを入手される機会を減らせる可能性がある。
木原誠二官房長官は、個人情報をオンラインで公開することによるプライバシー侵害について、次のように述べた。
個人情報をオンラインで公開し、プライバシー権を侵害することは許されるべきではない
この発言は、政府が介入を求めた理由を説明するものだ。情報をさらされた人々が、流出したすべてのコピーを自ら回収することはできず、ダウンロードされるたびに封じ込めは難しくなる。そのため当局には、さらなる拡散を抑えるため、十分に迅速に対応するよう求める圧力がかかる。
遮断がほかのネット利用者に及ぼす影響
ウェブサイト遮断では、サイト自体から情報を削除するのではなく、通信事業者の段階でアクセスを制限する。事業者は対象サイトへの接続を特定し、通信を通さないようにする。利用者の同意は必要ない。
遮断する接続を特定するには、事業者が利用者の通信先を確認しなければならない。そのため、この提案はGMOの事案で被害を受けた顧客以外の人々にも関わる。選定されたサイトに向かう接続を見つけるため、事業者の利用者全体の通信を調べることになる。
日本国憲法やほかの法律は、通信の秘密を保障している。この保護は通信の内容だけでなく、通信先に関する情報の秘密も対象とする。メッセージの内容を調べなくても、通信先そのものが私的な事柄を明らかにすることがある。
したがって、政策判断では、異なる方向に働く措置によって、別々の人々を守ることになる。当局は盗まれた情報へのアクセスを制限しようとする一方、通信事業者は利用者の通信の秘密を守る義務を考慮しなければならない。政府の法的検討では、双方の責任に対処する必要がある。
過去の提案が慎重に扱われた理由
日本では、児童ポルノサイトと呼ばれる、児童性的虐待の画像や動画を掲載するウェブサイトについて、例外的に遮断が認められてきた。その正当化の根拠は、こうしたコンテンツが流通し続けることによる深刻かつ長期的な子どもへの被害と、通信の秘密への介入を抑える必要性だった。
海賊版サイトやオンラインカジノへの遮断適用も検討されたが、導入は見送られた。こうした経緯から、個人情報の盗難に対する措置として同じ手段を使うことに慎重な議論が起きている。
今回の事案で、遮断はサイバー攻撃後の被害を緊急に封じ込めるという、これまでとは異なる状況に持ち込まれることになる。政府は、例外的な状況でのみ認められてきた措置を、深刻な情報漏えいへの対応にどう位置づけるかを検討している。
要請への批判では、危険が十分に差し迫っていたのか、公開を止めるほかの方法を尽くしたのかが焦点となっている。明確な法的ルールを求める声の背景には、通信事業者がいつアクセスを制限できるのか、どのような条件が適用されるのか、判断をどう検証できるのかを知る必要があるという実務上の懸念がある。
要請には透明性の問題も
政府は、日本の国会や政府内で事前に議論することなく要請を行った。また、10月27日に事業者へ要請したとの経緯が伝えられているにもかかわらず、総務省は要請を公に認めていない。
認めていないことで、判断の説明は不十分なままだ。要請の法的根拠、緊急性の理由、付された条件は、措置が正当だったかを評価するうえで重要となる。
提案された制限を民間の通信事業者が実施することになっていた点から、懸念は一段と強まる。事業者は利用者の法的保護を考慮しながら、政府の要請に対応する必要があった。
この要請を差し迫ったプライバシー上の脅威への適切な対応と見る人もいる。一方、拙速だったと批判し、遮断がサイバーセキュリティー政策の常態となる前に公に説明するよう求める声もある。争点は、被害者保護の必要性だけでなく、制限を認める手続きにも及んでいる。
ドメイン停止で何が変わったのか
攻撃者が使ったとみられるドメインが停止され、通常のアドレスからウェブサイトにアクセスできなくなった。ドメインとは、ウェブサイトにアクセスする際に使う名称だ。ドメインを停止すればその経路が断たれる。一方、日本の通信事業者による遮断は、各社のネットワークを通じた接続を制限する。
今回は、国内で遮断が実施される前に、ドメインに対する措置で差し迫ったアクセスの問題は解消したとみられる。その後、ウェブサイトは削除されたと説明されたが、アクセス停止の具体的な経緯としては、ドメイン停止と米国の事業者によるとみられる対応が挙げられている。
この一件を受け、政府の検討では、遮断とほかの対策との関係が重要な論点となる。当局は、それぞれの選択肢がどれほど迅速に機能するのか、どの組織が措置を取れるのか、国内事業者を通じた制限がいつ正当化されるのかを検討する必要がある。
緊急対策では、ウェブサイト遮断はなお検討段階にある。重要なのは、緊急対応を人々に理解できるルールにすることだ。介入が正当化されるのはどのような場合か、誰が認めるのか、そして被害をもたらす情報漏えいを封じ込めようとする間、通信のプライバシーをどう守るのかが問われている。
要点
- 日本政府は、GMOインターネットの事案を受け、緊急サイバーセキュリティー対策の一環としてウェブサイト遮断を検討する方針だ。
- 攻撃者が盗んだ個人情報を公開した10月27日、総務省は遮断を要請した。
- 要請は業界団体を通じて国内の大手通信事業者に伝えられた。
- 対象サイトのドメインはその後停止され、国内事業者による遮断は実施されなかったもようだ。
- 遮断には通信事業者による通信先の確認が必要となるため、日本の通信の秘密の保障との関係が懸念されている。
- 総務省は要請を公に認めておらず、法的検討の完了時期も示されていない。
