【またしても重大なセキュリティー問題が発覚】 今度は、世界中のWebサイトで、本来は秘密にしておくべき「デジタルの鍵」が大量に公開されていたというニュース。 米スタンフォード大学などの研究チームが約1,000万のWebサイトを調査したところ、実際に使用可能な「APIキー」が1,748件も見つかったそうです。 しかも、大手銀行やエネルギー関連企業など、社会の重要なシステムに関わるものまで。。 ■ APIキーって何？ 簡単に言うと、システム同士がやり取りするときに使う「デジタルの合鍵」のようなもの。 例えば、ネットショップが決済サービスを利用したり、AIサービスを呼び出したりするときに使用します。 本来、秘密にすべき鍵が誰でも見られる場所に置かれていた。 まさに、「家の合鍵を玄関マットの上に置いたままにしているような状態」 だったということ。 悪意ある第三者に悪用されると、鍵の権限によっては、 ・企業の内部データへの不正アクセス ・顧客情報などの流出 ・AIやクラウドサービスの不正利用 ・身に覚えのない高額な利用料金の発生 といった被害につながる可能性があります。 しかも驚くことに、研究では漏れた鍵が平均約1年間も公開されたままだったとのこと。 ■ 私たちは何をすればいい？ まず、今回の問題は、一般利用者よりもWebサイトやシステムを運営する企業側の問題です。 【一般利用者の方】 ① 利用しているサービスからセキュリティーに関する重要なお知らせが届いていないか確認する ② パスキーや二段階認証を利用する ③ 身に覚えのないログインや決済がないか注意する 今回のニュースだけを理由に、すべてのパスワードを変更する必要はありません。 【Webサイトやネットショップを運営している方】 こちらは、ぜひ一度確認してほしいです。 ① 自社サイトや外部連携アプリでAPIキーを使用していないか確認 ② 秘密にすべきAPIキーが公開されていないか、制作会社やシステム管理者に確認 ③ 漏れていた場合は、鍵の公開を取りやめるだけでなく、古い鍵を無効化して新しい鍵に交換する ④ 不正利用の履歴を調べ、アクセス権限を必要最小限に見直す 特に③が重要です。 一度外に出た鍵は、後から見えなくしても、誰かがコピーしているかもしれません。 ■ それにしても…… 情報漏洩問題、PHPの脆弱性、電子証明書の問題、そして今回のAPIキー。 それぞれ原因も仕組みも異なる問題ですが、短期間にこうしたニュースが続いています。 以前からデジタル社会のセキュリティーの脆さには危機感を持っていましたが、いよいよ見過ごせない段階に来ているように感じます。 便利さを追求して複雑化してきたデジタル社会。 その根底にある「信頼」は、いったい何によって支えられているのか。 単にシステムを更新するだけではなく、信頼の仕組みそのものを考え直す時期に来ているのかもしれませんね。 ※今回の研究は以前から行われていたもので、すべてのWebサイトで鍵が漏れているという意味ではありません。また、実際の不正利用が一斉に発生したという報告でもありません。 ニュース： 研究論文（スタンフォード大学など）：