情報流出はなぜ続く？ AI時代の宿のITシステム 3つの見極め方と、今日からできる対策

システムからの情報流出のニュースが続いています。「うちが使っているシステムは大丈夫なのか」「そもそも何を基準に選べばいいのか」と不安を感じている宿泊施設の方も多いのではないでしょうか。

この記事では、CHILLNNでセキュリティ対策を担当するエンジニアリングマネージャーの武井が、「なぜ今これほど事故が増えているのか」「システムを選ぶときにどこを見ればいいのか」「宿の側で今日からできることは何か」を専門外の方にも分かるようにまとめました。

＜この記事でわかること＞

✓ セキュリティ事故が増えている主な理由は、AIで高レベルの攻撃が手軽に、大量にできるようになったこと

✓ 「絶対安全なシステム」はないが、更新頻度・守る仕組み・ログの監視と公表姿勢の3点で見極められる

✓ 宿側でも、二段階認証・ID管理・情報共有などで今日からリスクを下げられる

自己紹介

CHILLNNでエンジニアリングマネージャーをしている武井です。開発チームをまとめながら、社内のセキュリティ対策も担当しています。

前職はZOZOで、ファッション通販サイトの開発に携わっていました。そこで取り組んでいたのが、古いシステムを新しいシステムに丸ごと置き換える「リプレイス」というプロジェクトです。プログラムもサーバーなどの土台もすべて作り直すので、その過程で新しい弱点（脆弱性）を生まないよう、チェックも担当していました。

今日は、そうした経験も踏まえて、宿のオーナーの皆さんに知っておいてほしいことをまとめます。

なぜ今、セキュリティ事故がこんなに増えているのか

皆さんも想像の通りかと思いますが、大きな要因のひとつはAIです。セキュリティ事故が増えている理由は、大きく分けて3つあると考えています。

1. 「日本語の壁」が効かなくなった

これまで日本は、日本語という言葉の壁にある程度守られていました。海外から送られてくるフィッシングメールは文面がどこか不自然で、偽サイトもデザインが雑だったので、見れば怪しいとわかりました。

ところが今は、AIを使えば自然な日本語のメールも、本物そっくりのサイトも簡単に作れます。海外の攻撃者にとって、日本語はもう壁ではなくなりつつあるのです。

2. 最先端に近いAIが攻撃に悪用されている

AIのプログラミング能力は、ここ最近で飛躍的に上がっています。とはいっても、大手のAI企業が提供するAIには「攻撃に使ってはいけない」というルールが組み込まれています。

ただ、最先端のAIをもとにして、似た性能のAIを別の会社や研究機関が作ることもできます。こうしたAIは、最先端から3か月〜半年ほど遅れて性能が追いついてくると言われています。また、仕組みが公開されているAIもあり、それをコピーしてルールを外せば、攻撃に悪用できてしまいます。

その結果、狙ったサイトを24時間休みなく攻撃し続けることが、高度な知識がなくてもできるようになりました。これが、攻撃が爆発的に増えている大きな理由だと考えられます。

3. サイバー犯罪そのものが増えている

AIだけが原因ではありません。サイバー犯罪そのものが組織化して、年々増えています。たとえば、企業のシステムを止めて「再開してほしければ身代金を払え」と要求する手口です。エンジニアがよく参考にしているIPA（情報処理推進機構）も、こうした犯罪の増加を報告しています。

こうした犯罪の増加は世界的な流れですが、日本は特に狙われやすいと思っています。日本の企業は、システムを自社で作らずに外部へ委託し、さらに再委託しているケースが多いです。誰がどう管理しているのかわからず、更新もされないまま放置されたシステムがたくさんあります。攻撃する側から見れば、隙を見つけやすい相手です。

宿泊業界の流出事例について

先日、宿泊業界でもサイトコントローラーからの情報流出がありました。現時点で、原因の詳細は公表されていません。侵入経路を細かく公表すると、それ自体が次の攻撃の手がかりになりかねないため、詳細を伏せるのは珍しいことではありません。

今の時代、どれだけ対策を重ねても、攻撃を完全に防ぐのは難しいのが現実です。

では、宿の側にできることはないのかというと、そうではありません。二段階認証などアカウントを守る対策はすぐに始められます。そして何より大きいのは、どのシステムを選ぶかです。

「絶対安全」はない。それでも安全性が高いシステムを見極めるための3つのポイント

最初に正直に言うと、「絶対に安全なシステム」はまず存在しないと考えています。

大きな宿の戸締まりを思い浮かべてみてください。守る側は、客室も勝手口も窓も、すべての鍵を毎日欠かさず閉め続けなければなりません。一方で、泥棒はどこか1か所でも開いていれば入れてしまいます。システムのセキュリティも同じで、守る側は全部を守る必要がありますが、攻撃する側は1つの弱点を見つければ十分です。しかも今は、AIを使って24時間休みなく、あらゆる窓・扉が開いているかを確認できるようになりました。

だからこそ、セキュリティはやろうと思えばいくらでもお金をかけられ、終わりがない分野なのです。

とはいえ、安全性が高い・低いの差はあります。専門家でなくてもチェックできるポイントを3つ紹介します。

ポイント1：更新し続けているか

一番見てほしいのは、システムがきちんと更新され続けているかどうかです。

パソコンやスマホのアップデート通知をイメージしてください。アップデートにはしばしばセキュリティ強化が含まれ、中身が何なのかよくわからなくても、最新にしておくことで防げる攻撃があります。宿に関するITシステムも同じです。弱点が見つかると、作っている人たちが修正版を出してくれます。それを取り込み続けているかどうかで、安全性は大きく変わってきます。

つまり、何年も更新されていないシステムより、月に1回、半年に1回と更新されているシステムのほうが比較的安全だといえます。新機能のリリースやお知らせが定期的に出ているかは、外から見てもわかるひとつの目安になります。

注意したいのは、外部に作ってもらったシステムです。委託先との契約が「作って終わり」になっていて、更新は対象外というケースが多くあります。実際に、3年前の状態から一度も更新されていないホームページも見たことがあります。更新するには追加でお金が必要、となると、なかなか手が回らないのが現実だと思います。

とはいえ、更新が多ければそれだけで安心、というわけでもありません。プログラムは変更したときに新しい弱点が生まれることもあるので、更新のたびにきちんとチェックしているかどうかも大切です。

ポイント2：攻撃から守るための仕組みがあるか

2つ目は、システムに攻撃から守るための仕組みが備わっているかです。利用者が使える機能として代表的なのは、二段階認証と権限管理です。

特に二段階認証は、必須だと考えておくのが良いと思います。パスワードは今ではかなり弱い仕組みになってきています。ひとつのサービスからパスワードが漏れると、使い回している別のサービスにも入れてしまいます。パスワードマネージャーなどを使ってサービスごとに異なるパスワードを作るのはもちろんですが、メールなどでもう一段階の確認をする二段階認証があればよりリスクを下げられます。

スタッフごとに見られる範囲や操作できる範囲を絞る、権限管理の機能も大切です。万が一どれかのアカウントが乗っ取られても、そのアカウントでできることが限られていれば、被害を小さく抑えられるからです。特に、予約情報の出力や振込先の変更など影響の大きい操作は、限られたスタッフだけに任せておくと安心です。

ポイント3：事故を公表する姿勢があるか

3つ目は、アクセスの記録（ログ）を日頃から確認しているか、そして事故が起きたときにきちんと公表しているかどうかです。

一番怖いのは、攻撃されたことに提供会社自身が気づいていない状態です。ログを見ていなければ、何かあっても気づけず、何も対応できません。

反対に、ログを確認したうえで「可能性を否定できない」段階でもきちんと公表している会社は、それだけ自分たちのシステムをきちんと見ている会社だと言えると思います。

とはいえ、過去に事故の公表がないことだけでは、事故が起きていないのか、気づいていないだけなのかを外から区別できません。そこで確かめてほしいのが、「事故が起きたら、どう知らせるか」という方針です。ログを日頃から確認しているか、事故の可能性があるときにどのくらいの時間で連絡するのかを提供会社に聞いてみてください。具体的に答えられる会社は、それだけ自分たちのシステムをきちんと見ている会社だと言えると思います。

CHILLNNではどうしているか

ここからは、先ほどの3つのポイントに沿って、CHILLNNが実際にどんな対策をしているかを紹介します。

ポイント1：システムを更新し続けている

CHILLNNのシステムは、世界でもトップクラスの設備であるAWS（Amazonのクラウドサービス）の上で動いています。サーバーをあえて自社で持たないことで、土台となるソフトウェアの更新が自動で行われるようにしています。ただし、AWSも使い方次第で安全性は変わります。そこで、AWSが推奨する使い方を学び、自社の仕組みに取り入れたり、AWSを熟知した技術顧問のエンジニアにシステムのレビューをしてもらっています。

システム自体の更新も、週に2〜3回のペースで行っています。これができるのは、開発を外部に委託せず、自社のエンジニアで行っているからです。弱点が見つかってから対策するまでが速く、委託先の都合を待つ必要もありません。

また、プログラムは変更したときに新しい弱点が生まれることがあります。CHILLNNでは変更のたびにそれをチェックしています。外部に委託していると、こうしたチェックを増やすほど費用がかさんでいきますが、自社開発だからこそ日常的に続けられています。

ポイント2：システムを守るための仕組みがある

まず、皆さんが使える機能として、CHILLNNの管理画面では二段階認証を設定できます。スタッフごとに操作できる範囲を絞る権限管理の機能も、現在開発を進めています。

システムの入口では、「WAF（ワフ）」と呼ばれる防壁の設定に力を入れています。WAFとは、入口に立つ門番のようなものです。世の中には、過去に攻撃に使われたことがわかっている「住所（IPアドレス）」のリストが共有されています。WAFを使うと、そうした住所からのアクセスを自動で遮断できます。人間ではありえない頻度で大量にアクセスしてくる相手も、検知して止められます。

ただ、門番を厳しくしすぎると、一般のお客様まで「予約ページが開けない」ということになりかねません。なので、そのさじ加減は慎重に調整しています。

さらに、攻撃する側がAIを使うように、守る側もAIを使います。CHILLNNでは、AIに自分たちのシステムをあえて攻撃させ、弱点がないかを1ヶ月に1回を目安に確かめています。早く弱点が見つかれば、攻撃者に見つかる前にふさぐことができます。

最後に、個人情報の中でも特に重要なクレジットカード情報は、決済代行サービスの「PAY.JP」に任せています。PAY.JPは、カード業界の国際的な安全基準である「PCI DSS」に準拠しています。

ポイント3：ログを確認し、事故を隠さない

「攻撃」というと大げさに聞こえるかもしれませんが、怪しいアクセスは日常的に来ています。たとえばCHILLNNの場合、特定のプログラミング言語の弱点を狙ったアクセスだけで月に100万件ほどあります。相手を選ばず、無差別に送られてくるものです。設定が甘ければ、個人情報や管理者の情報を抜き取れてしまう場所を狙ってきます。

CHILLNNでは、こうしたアクセスをログで日々確認し、防いでいます。現在まで情報は漏れていません。

そのうえで、ひとつ約束します。CHILLNNは、もし事故が起きたら絶対に隠しません。そして、できるだけ早くお知らせします。これまでも、外部サービスとの連携で問題が起きた際には、ログを確認し、利用施設に公表してきました。万が一のときにはサービスをすぐに止められる仕組みも用意しています。

セキュリティ対策を支える体制：経営者がエンジニアであること

ただ、自社開発にも弱みはあります。セキュリティ対策を積み重ねるほど、その費用はすべて自社で負うことになります。そのため、提供会社が投資の判断を誤れば、そのコストは割高な利用料として施設の皆さんに跳ね返ってしまうのです。だからこそ、提供会社がセキュリティにどこまで投資するかの見極めが重要になってきます。

CHILLNNはCEOがCTO（技術の責任者）を兼ねていて、CEOはじめ社員の約半数がエンジニアという特徴があります。セキュリティへの投資は、やりすぎれば利用料として施設の負担になりますし、少なすぎればお客様の情報を守れません。このバランスを技術の中身まで理解したうえで判断できることが、正確な調整につながっています。

宿のオーナーが今日からできること

セキュリティ専任のスタッフがいない宿でも、できることはたくさんあります。特別な知識がなくても始められるものを紹介します。

IPAの資料を読んでみる

IPA（情報処理推進機構）は、エンジニアやソフトウェアの開発者もよく見ている公的機関です。大企業向けだけでなく、中小企業向けの案内や、今増えている手口の情報も無料で公開しています。専門家でなくても読める内容です。

少し時間を取って、スタッフの皆さんと読み合わせをするだけでも、意識は大きく変わってくると思います。

• IPA 独立行政法人 情報処理推進機構

二段階認証をオンにする

予約システム、サイトコントローラー、PMS（予約・客室管理システム）など、使っているシステムで二段階認証をオンにしてください。あわせて、パスワードの使い回しをやめ、できればパスワード管理ツールを使うことをおすすめします。

IDはスタッフごとに。退職したらすぐ削除する

可能であれば、ログイン用のアカウントはスタッフごとに分けましょう。そして、退職した人のアカウントは、なるべく早く削除してください。

見落とされがちですが、管理されないまま残ったアカウントは事故の原因になることがあります。退職した人に悪意がなくても、その人のパソコンがウイルスに感染していて、残っていたアカウントから入られてしまう、ということが起こり得ます。そうなれば、お互いにとって不幸です。使っていないアカウントや権限は、定期的に棚卸ししましょう。

※CHILLNNでは本機能を現在開発中です。

管理画面を定期的に確認する

覚えのないログインや、権限・振込先の変更がないかを、管理画面で定期的に確認してください。

そのとき、管理画面はブックマークから開くようにしましょう。見た目がそっくりな偽サイトも簡単に作れる時代なので、画面の見た目ではなくURLやブックマークで確実に本物のサイトに入ることが大切です。

「気をつけよう」というムードをつくる

「退職のお知らせ」のような件名のメールは、つい開いてしまうと思います。でも、その中身がフィッシングサイトへのリンクだったり、ウイルス入りのファイルだったりすることがあります。

そこでおすすめしたいのが、スタッフ同士で情報を共有する場をつくることです。会議の場でも、チャットのグループでもかまいません。「こんなメールが来たよ」「こう対応したよ」と共有し合うだけで、全員の意識が高まり、未然に防げることも増えてくると思います。

お客様にも、不審なメッセージが届いたらリンクを開かず、公式ページや元々の予約メールで確かめるよう伝えておくと安心です。

事故が起きたときの動きを決めておく

どれだけ気をつけても「絶対」はありません。だからこそ、万が一事故が起きたときに誰が何をするのかを、あらかじめ決めておきましょう。避難訓練的に一度シミュレーションしておくだけでも、いざというときの動きは変わります。

利用者と提供者で、一緒に高め合っていきましょう

他社のシステムの中身を、外から細かく見極めるのは難しいと思います。そんなときは、提供会社に次の3つを聞いてみてください。

1. システムの更新は、誰がどれくらいの頻度で行っていますか？

2. 事故が起きたら、どれくらいの時間で連絡をもらえますか？

3. 二段階認証は使えますか？

この3つにきちんと答えられるかどうかが、ひとつの判断材料になると思います。もちろん、CHILLNNはすべてに答えられます。

最後に、私が一番伝えたいことを書いておきます。セキュリティは、提供する側に丸投げしているだけでは高まっていきません。もちろん私たちも全力で取り組みます。でも、皆さんが「こういう対応はできていますか？」と聞いてくださることで、私たちが具体的な対策を進めるきっかけにもなります。

お客様の情報を守り、事業を止めないために、利用する側と提供する側が一緒になってセキュリティへの意識を高めていければ嬉しいです。

FAQ / よくある質問

なぜ最近、セキュリティ事故がこんなに増えているのですか？

主な理由は3つあると考えています。AIで自然な日本語の偽メールや偽サイトを作れるようになったこと、AIの悪用で攻撃が自動化されたこと、そしてサイバー犯罪そのものが組織化して増えていることです。

ITシステムのセキュリティは、何を見て選べばいいですか？

「更新し続けているか」「攻撃から守る仕組みがあるか」「事故を公表する姿勢があるか」の3点がおすすめです。どれも、リリース情報の確認や、提供会社への質問で確かめられます。

サイトコントローラーなどからの情報流出は、宿の側で防げますか？

提供会社のサーバーが直接狙われた場合、宿の側だけで防ぐのは難しいと考えられます。できるだけ安全なシステムを選んだうえで、二段階認証やID管理でリスクを下げましょう。

二段階認証は本当に必要ですか？

必須だと考えておくのが良いと思います。パスワードは使い回しから芋づる式に破られやすく、もう一段階の確認を加えるだけでリスクを下げられます。

外部に委託して作ったシステムは危険ですか？

委託そのものより、更新が止まりやすい点に注意が必要です。「作って終わり」の契約で、何年も更新されないシステムも少なくありません。

退職したスタッフのアカウントは、どうすればいいですか？

なるべく早く削除してください。本人に悪意がなくても、そのパソコンがウイルスに感染していれば、残ったアカウントから侵入される可能性があります。

セキュリティ専任のスタッフがいない宿でも、できる対策はありますか？

あります。IPAが無料公開している中小企業向け資料の読み合わせや、二段階認証の設定、不審なメールをスタッフで共有する場づくりなどは、今日から始められます。