5万件漏えいが示す「消えないデータ」の死角——サイバー攻撃時代の保存設計

ニチレイが7月のサイバー攻撃で確認した個人情報漏えいは5万3866件。この数字が示すのは、攻撃の巧さよりも「保存していた場所」の問題である。漏えいが確認されたのは、同社が運用するサーバの一部だった。

漏えい件数ではなく「保管設計」を見る

5万件という規模は、日本の企業が日常的に扱う顧客データの一部に過ぎない。重要なのは、なぜそのデータが「攻撃を受けたサーバ」に集まっていたのかという点だ。

多くの企業は、業務システムのデータベース、バックアップ、アーカイブを同じネットワーク境界の内側に置く。運用が楽で、検索性も高く、権限管理も一元化できる。だが攻撃者から見れば、一度侵入すれば複数の目的を同時に達成できる「一等地」になる。

2021年のKaseya経由のランサムウェア被害では、IT管理ツールのサプライチェーンから多数の企業のバックアップまで到達した。バックアップはランサムウェア対策として推奨されるが、それは「オフライン」か「別の信頼境界」にある場合に限る。同じ認証基盤で守られたバックアップは、攻撃者にとっては追加の身代金交渉材料でしかない。

保存期間と攻撃期間は比例しない

長期保存を前提としたデータは、それ自体が長期的な攻撃対象になる。これは直感に反する。

「10年保存する文書」は、10年間攻撃され続ける可能性を持つ。逆に「3か月で消すログ」は、攻撃者が価値を見出しにくい。保存期間が長いほど、そのデータを守るコストは累積する。クラウドのアクセス権限は、担当者の異動や退職のたびに更新が必要で、更新漏れは静かに蓄積する。

ここで経済性の話を一つ。一般的なクラウドストレージは月額課金だ。1TBを10年保持すれば、単純計算で120か月分の料金が発生する。データが増えれば単価も増える。一方、Arweaveのような事前支払い型の永久保存では、保存時点で一度支払い、その後は追加コストが発生しない。Long Driveが採用するモデルもこれに近い。ただし重要なのは料金体系そのものではなく、「保存期間の長さが攻撃対象としての価値を高める」という非対称性を認識することだ。

暗号化は「漏えい」の定義を変える

今回の発表で確認されたのは「漏えい」であり、それが直ちに「悪用」を意味するわけではない。だが、サーバ上に平文で存在する個人情報は、漏えいした時点で防御側の制御を離れる。

クライアント側で暗号化し、鍵を利用者が保持する設計では、ストレージ事業者や攻撃者がデータ本体を取得しても内容は読めない。Long Driveがオプションで提供するAES-256-GCMのクライアント側暗号化は、この考え方に沿う。パスワードが鍵を守るため、プラットフォーム側にも内容は見えない。

ただし、これは万能ではない。鍵管理を誤れば復号不能になるリスクがあり、検索性や共同作業性は犠牲になる。だからこそ、すべてのデータを暗号化するのではなく、「長期間保存するが頻繁には参照しない」文書やアーカイブに限定する判断が現実的だ。

データは「消える」より「残り続ける」方が難しい

サイバー攻撃の被害は、侵入を防ぐだけでは完結しない。侵入された後、どこに何が残っているかが被害の輪郭を決める。5万3866件という数字は、その輪郭の一部に過ぎないかもしれない。

長期保存の本質的な難しさは、技術ではなく運用にある。保存する場所、期間、暗号化の有無、鍵の所在——これらをデータの性質ごとに分けて設計する。クラウドの利便性を享受しながら、すべてを同じ境界に置かない。地味だが、これが攻撃時代の保存設計の出発点になる。

データを「消さずに残す」ことは、もはや機能ではなく設計思想の問題である。