「個人で、具体的にどんなサイバー対策をしてますか？」って聞かれたとき、僕、すぐに答えが出てこなかったんですよ。具体的って言われてもなあ、と。端末のアップデートは来たら早めにやってるし、二要素認証が使えるようになったときもすぐ取り入れた。パスキーも使ってる。そうやって一個ずつ思い出したら、何もしてないわけじゃなかったんです。
それで逆に思ったんですよね。自分では、何をしたら「対策した」ことになると思ってたんだろうって。大きな会社を守るような仕組みまで考えたら、そりゃ僕には無理です。でも、僕が明日ログインするのは自分のメールと、このブログです。僕の仕事が始まるのはそっちなんですよ。
サイバー攻撃のニュースを見て、怖いなあ、で終わるのも気になる。かといって、個人が頑張れば何でも防げるみたいな話も、僕の実感からは遠い。今日はその間にある、僕自身が実際にやってきたことを書いてみます。
端末の更新と二要素認証では、守っている場所が違う
僕が早めにやってることの一つが、端末のアップデートです。これは手元にある道具の手入れに近いです。更新にセキュリティ上の修正が入っていれば、自分でその修正を調べてプログラムを書き直さなくても、更新を入れることで対応できる。個人が自分でやれるって、こういうところですよね。
ただ、その端末を最新にしても、メールのパスワードを誰かに知られたら、それは別の問題です。相手がログインを試すのは僕のパソコンからとは限らない。そこを考えると「更新してあるから大丈夫」とは言えないんですよ。
二要素認証は、パスワードがわかっただけではログインしにくくするために、手元の端末などで別の確認を加える仕組みです。僕は使えるようになったとき、すぐ取り入れました。パスキーも対応してるところでは使ってます。こちらは、端末の画面ロックを解除する操作などで、そのサービスにログインする方法です。
この二つ、記事にすると短い説明で済みます。でも、自分がやるときに知りたいのは名前の意味だけじゃないですよね。「これ、僕のメールではもう有効なの？」「スマホを替えたら、次は何を使って入るの？」。設定を見ようとすると、そっちの疑問が出てくる。一度入れて終わりにせず、自分が次に入れる方法も、そのサービスの案内で確かめておく意味があります。
たとえば「ログイン方法を更新してください」ってメールが届いたとします。文面が本物っぽいか、僕が一生懸命考えても、判断がつかないことはあります。こういうときは、メールに書いてあるリンクを使わず、自分が普段使ってる公式アプリからお知らせを見に行ける。メールの真偽をその場で言い当てられなくても、次に取る行動は選べるんですよね。ここはIPAの不正ログイン対策の案内でも具体的に説明されています。
自分でできることがあるのと、被害を防げたはずだというのは別の話
同じメールでも、僕がアカウントの設定を開く話と、メール会社が預かってる情報をどう守るかって話では、できることがまるで違います。前者には僕が押せる設定ボタンがある。後者にはないんです。
仮にサービスの側で情報が流出したとして、僕が端末を更新していたかどうかで、その流出を止められたわけじゃない。一方で、もし自分のパスワードをほかのサービスでも使っていたなら、そちらの設定を見直すことはできる。起きたことの原因と、今の僕にできる対応は、分けて考えたいです。そこを一つにすると「対策してたのに意味なかった」とか、「被害に遭ったんだから何か怠ったはずだ」とか、どっちにも話が飛んでしまう。
僕が最初に言いたかったのは、「自分でできることを何もやらずに、あとで誰かのせいにするのは嫌だ」ってことです。これ、向ける相手を間違えると、全然違う話になるんですよね。僕が自分のアカウントを前にして「今、僕ができることはあるかな」と考えるための言葉です。被害に遭った誰かに向かって「あなたはやりましたか」と言いたいわけじゃない。僕には、その人が何をやっていたかも、何が起きたかも見えてませんから。
個人にできることは限られてます。そこで全部抱え込む必要はないと思います。使っているサービスにしか調べられないことまで、自分で答えを出そうとしたら、それこそしんどいですよ。
サンドボックスから試すときも、分けられるものには限りがある
僕、気になるものは見てみたいほうなんですよ。そういうときはサンドボックスっていう、普段の作業場所から分けた環境で試すこともあります。詳しいんですかって聞かれると、知らないことばっかりですけど（笑）。でもやってはみます。
ここで大事なのは、何を分けたかです。試す環境を普段の仕事場から分けても、そこで本物のアカウント情報を相手に渡したら、その情報まで囲いの中に残るわけじゃない。環境を閉じても、一回渡ったパスワードを取り戻せるわけでもないんです。
だから、サンドボックスの話を「怪しいものを安心して開ける方法」として持って帰ってほしくはないです。僕がやってるのは、試すならせめて普段使う環境とは分けよう、というところまで。そこから先、自分で判断がつかなければ開かずにおく。それも個人でできる選択の一つです。
AIに相談するのに、パスワードまで見せる必要はあったか
ここからは、実際にこのブログで起きた話です。WordPressをAIにつないで記事を書けるようにしようとして、僕は「一個ずつ指示出して」って頼みました。セキュリティ事故が起きた話じゃないです。接続の途中で失敗して、どこまでAIに見せれば相談できるのか、実際に一個ずつ確かめることになったんです。
途中で「スタートメニューを開いてください」って言われたんですよ。僕が一個ずつって言ったからなんですけど、そこをわざわざ指定されると「え、いつものWindowsのやつでいいの？ ほかにもスタートメニューがあるの？」ってなって（笑）。聞き返したら、やっぱりいつものやつでした。検索で手順を読んでるだけなら飛ばすような一行でも、自分が今どこにいるかは、こうやって合わせられる。
で、WordPressに接続しようとしたら「401」。許可されていません、って出た。ここでわかったのは、接続の認証が通らなかったことまでです。パスワードを間違えたのか、名前を間違えたのか、その数字一個で理由まで決まったわけじゃなかったんですよね。
まず、パスワードが空のままになってないかを手元で確認しました。AIに返したのは「入力されています」という結果だけ。次に、入力されているものの形式を確認した。こちらも返すのは「形式OK」だけです。文字数や形が合っても、そのパスワードが正しい証明にはなりません。でも、少なくとも空のまま何度もやり直している可能性は消せた。地味ですけど、一歩進んでるんですよ。
そのあと「WordPressのプロフィールに登録されてるユーザー名と、入力した名前は同じですか？」と聞かれて、僕は「一致してると思います、確認したい」と答えました。で、実際に二つを見比べたら、同じじゃなかった。正しいユーザー名に入れ直したら、つながりました。
僕にとっては、この「一致してると思う」と「見たら違ってた」の間が、いちばん大きかったです。AIが最初から原因を知ってたわけじゃない。僕だって合ってるつもりだった。それでも、次に何と何を見比べたらいいかは一緒に決められた。そのために、パスワードそのものをチャットへ貼る場面は一度もありませんでした。
次に似たことで困ったら、「ここで失敗した。エラーはこれ。次は何を自分の画面で確認すればいい？」って聞けます。画面を丸ごと渡さなくても、エラーの一行で始められる。パスワードや認証コードが写るところは手元に置いて、確認した結果だけ返せばいい。僕が今回覚えたのは、401という番号より、こういう相談の仕方でした。
AIがあっても、最初の一個は僕がやる
以前は検索して、説明に出てきた知らない言葉をまた検索してました。調べてるうちに元の設定画面から遠ざかることがあって、自分がわからなかったAIやIT用語をまとめたのも、そのためです。今は「その言葉がわからん」「僕の画面にはそれがない」って、詰まった場所から聞き直せます。これは僕にはだいぶ違います。
ただ、AIは僕が普段使ってるメールの設定を勝手に開いて、昨日までと違うところを教えてくれるわけじゃない。使える道具が増えても、僕が画面を一度も見なかったら、そこは前のままです。僕が「AIがあっても何もしなければ変わらない」と言うとき、真っ先に考えてるのは自分のことなんですよ。
仕事でも、昨日と同じやり方で今日も仕事ができると、「このままでいける」と思えるんです。車の診断も、目と耳でわかることは今もある一方で、スキャンツールの数値を読んだほうが早い場面が少しずつ増えました。変わった日が一日だけあったわけじゃない。だから、わりと普通に仕事できてるうちに、知らないことが増えていく。僕が「止まれない」って言うのは、その感覚です。
別に毎日、新しい対策を探し回るという話じゃないです。端末に更新が来たときや、いつものサービスに新しいログイン方法が出たときに、「僕のところではどうなってる？」って一回見てみる。わからなければ聞くし、聞いたら必死に学びます。全部を理解してからじゃ一歩も動けないから、僕はそうやってやってきました。
自分の端末の更新を一つ入れたところで、世の中のサイバー攻撃はなくなりません。でも、その端末は明日も僕が仕事で使うんですよ。だったら、入れられる更新は入れておきたい。どうにもできないことまで僕の責任にしなくていいし、手の届くところまで誰かに任せきらなくてもいい。僕の「できることはやっておきましょう」って、そのくらいの話です。
むきぐりチャンネルを見る
