トヨタのWebサイトが改ざんされたのは百歩譲って仕方ないとして、その後の対応はいかがなものでしょうか
トヨタがwebサイトを改竄されたというのでしばらく見物していましたが、報じられ方や情報開示のあり方がちょっと今風でなくむしろ気になりましたので整理してみたいと思います。
山本一郎です。誰か私の名前を個性的に改竄してください。
ところで、このところ急増するWebサイト改ざんに対して、IPAや警察庁などが何度も注意を促しております。
「ウェブサイトが改ざんされないように対策を！」（IPA 2013/6/4）
外見上変化のないウェブサイト改ざん事案の多発について（警察庁PDF書類 2013/6/7）
弊ブログでも気になる話題の一つとして取り上げました。
今アクセスしているWebサイトは安全なんでしょうかという話（2013/6/6）
しかし、このような注意の呼びかけがあっても、改ざん被害の勢いはいまだ収まる気配がないようです。そうこうしているうちに日本企業を代表する最大手の一つであるトヨタのホームページが改ざん被害に遭ってしまいました。
日本経済新聞のWeb版がかなり早い時点で速報的な記事を公開しました。
トヨタのサイト改ざんされる情報流出は調査中（日本経済新聞 2013/6/19）
その後、報道メディア各社が一斉にこの事件を報道しています。
トヨタ、ホームページ改ざんされる情報流出はなし（朝日新聞 2013/6/20）
トヨタＨＰ改ざん被害…閲覧でウイルス感染恐れ（読売新聞 2013/6/19）
トヨタのＨＰ改ざん「顧客情報の流出なし」（産経新聞 2013/6/19）
トヨタのホームページ改ざん 感染注意（NHKニュース 2013/6/19）
サイト一部改ざん被害＝情報流出は確認中―トヨタ（WSJ.com 2013/6/19）
トヨタのWebサイトが改ざん、不正プログラムを自動実行する状態に（ITpro 2013/6/19）
トヨタWebサイトに不正アクセス、改ざんコンテンツに不正プログラム（ITmedia 2013/6/19）
トヨタ自動車のWebサイトが改ざん、1週間以上不正プログラムが実行される状態に（@IT 2013/6/19）
気になって普段よりも多くのニュースメディア記事を読んでみるようにしたのですが、書かれている内容はどこもほとんどが同じでした。おそらくトヨタが自社サイトで公開しているPDF書類を元にして書かれているのでしょう。
弊社ホームページの改ざんに関するお詫びとご報告（トヨタPDF書類）
さて、この一連の報道とトヨタの発表でいくつか気になることがあります。まずは、朝日新聞の6月20日付けの記事によると以下のような状況だそうです。
トヨタは１８日になってホームページだけで「おわびとご報告」を公表。記者会見などは行わなかった。朝日新聞トヨタのような大企業でしかも非常に多くの人がアクセスすると考えられる「トップページ最新ニュース」といったWebページが改ざんされ、しかも不正プログラムが仕込まれていたという事実があるにも関わらず、このような消極的な対応しかなされていないのがやや驚きです。
また、改ざん発覚に関する時系列情報が読売新聞の記事に書かれています。
今月１０日、ＨＰの閲覧者から問い合わせを受け、社内調査した結果、改ざんの痕跡が見つかった。読売新聞この記事が事実だとすると、すでに10日の時点では不審な点が報告されていたわけですが、実際にサイトが改ざんされていると認めてサイトを一部閉鎖するまでには約4日を要していたことになります。しかも、この間、不正なプログラムは配信されるがままで放置されていたということです。通常であれば、まずは問題のあるページをアクセス遮断するなどの対策がとられてしかるべきだったのではないでしょうか。また、社内で事実が判明してから、それが公表されるまでにもかなりの時間がかかっています。
さらに気になる点は、どの報道を見ても一体どんな不正プログラムが配信されていたのかが全く報じられていないということです。もちろんトヨタのPDF書類にもその情報は記されていません。ただ「お手持ちのセキュリティソフトを最新の状態にし、ウィルス感染確認・駆除の実施をお願いいたします」と書かれているだけです。不正プログラムの機能が一体どんなものであったのかは真っ先に知らされるべきではないでしょうか。こんな書き方をすると非常に言葉が悪いかも知れませんが、これではまるで「うちで販売している自動車に欠陥が見つかったようなのでユーザーはそれぞれの自己責任で点検しておいてね」と言っているに等しいとも感じてしまいます。
新聞記事では「現在のところ、閲覧した人の情報が流出するなどの被害は確認していないという」（日本経済新聞）などとのんびりした話も書かれていますが、これはあくまでもトヨタのサイトから個人情報が流出している可能性が低いだけであって、改ざんされた当該サイトを見てウイルスに感染した各個人から情報が流出したか否かはトヨタ側から確認のしようがないので、どうも適当な言い逃れにしか見えません。
また本来であれば、サイトが改ざんされていたとされる6月5日午後18時26分から6月14日午後21時47分までの期間、それぞれのページにどれだけのアクセスがあったかという具体的な情報も公開してほしいところです。今のままでは被害の規模がまったく分からない状況です。
6月20日の16時の時点まで調べてみましたが、今のところ報道等を確認しても特に追加情報は出てきていないようです。このような対応の仕方は日本に限らず世界でもトップクラスを誇る企業としてはいかがなものかと問わざるを得ずとても残念です。
読売の記事の締めには「トヨタは再発防止策として、７月にも安全性の高い新たなサーバーに切り替える方針だ」とあります。まぁ、これはおそらくちょっとした言葉の綾でしかないのでしょうが、それでもじゃあこれまではどうだったのだろうという気持ちにもなるのが人情。日本を代表する企業としてあるべき姿を示すためにも、今後のトヨタの挽回に期待したいところです。
次はmixiが改竄されてnixiになって、めくるめく肉の世界を誇るSNSになっていることを期待してやみません。