PSN事件と今後の展望

事件の規模

すでに報道されているように，攻撃を受けてサービスを停止していたSony PlayStation Network(PSN)の全ユーザのデータが流出した可能性があると27日に発表された．全ユーザ7700万人分という規模の流出があったとすればアメリカで過去に起こった1億3000万件のカード番号盗難にせまる最大規模の被害となる．しかも今回はクレジットカード情報だけでなく全ユーザの氏名，住所，メールアドレス，誕生日，パスワード，ハンドルネームが含まれており(どのような形で暗号化されているかは不明)，クレジットカード情報以上の利用価値がある．また「36カ国、22通貨、12言語」という全世界サーバ(日経ビジネス, 2010年3月2日)からの流出は前例がないもので，消費者保護先進国の政府機関も動きはじめたことで，個人情報保護の歴史の上でも大きな事件となる可能性が高い．

セキュリティ投資の評価

これを単にずさんな仕事の結果だと片付けることはできない．SCEAにはオンラインゲームのセキュリティについて寄稿する熱心な開発者も在籍していた．また，SCEはゲームのセキュリティだけでなくシステムセキュリティの専門家や暗号研究者のリクルートにも成功していた．(アカデミックな評価については学会賞や大学院のセミナーなどでも間接的に知ることができる．) ほとんどのゲーム企業が高度な暗号専門家のリクルートに成功していない中で，SCEはセキュリティ設計・開発者人材に投資してきた企業だと言える．(ただしシステム運用面については，EverQuestIIのログ解析のような先進的な成果はあるが，後述するように体制が見えてこないので評価はさしひかえる．)今回の情報漏洩は，このような先進的な企業でさえ高いセキュリティレベルやリスクマネジメントを維持するのが難しいことを示しており，多くの企業にとって教訓になると考えられる．

専門家のコメント

世界規模のネットワークであるがゆえに，発表当日からPlayStation data theft puts millions at risk (Al Jazeera英語版, 4/27)や Sophos Advises PSN Users To Cancel Credit Cards (EDGE Magazine, 4/27)など地球上のどこからで報道が流れているが，本日になって日本でも専門家のコメントが出始めた．特に重要と思われるものを以下に示す．

• 情報流出に伴う ID とパスワードの不正使用に関する注意喚起(JPCERT/CC, 2011-04-28)
• ソニーのPSNからの情報漏洩に学ぶ事後対応策の重要性 (エフセキュアブログ, 2011-04-28)

前者はJPCERT/CCという独立した専門家集団が社会に対して注意を呼びかけたことに意義がある．被害の全貌については原因究明を待ちたいが，すぐにとれる対策もある．これを受けてIDやパスワードの変更を呼びかける機関も出始めているが，ここでも各企業の対応が試されている．
後者は，専門家の知識だけでは解決できない運用面に注目し，リスクマネジメント体制の教訓を導き出している．特に，ソニーは4月1日にSCEとSNEの組織改革を行い，さらに「Portal2」でPS3とSteamの連携をはじめるという変革期にあった。利用者に呼びかける責任者がよく見えてこないのは、おそらく通常以上の準備が必要とされている時期だったのではないだろうか。

現代のゲームの特性

これらのコメントにつけくわえるとすれば，今後はPSNが目指す利用実態についての知見を加えた対策が必要だろう．今回，特に新聞ではPS3ゲーマーが被害を受けたという説明が多かったが，影響はゲーム以外にもテレビの BRAVIA などから利用できる動画サービスや音楽サービスにも及んでいる．こうした影響範囲の裾野の拡がりを見積もるには、 今回の問題を単なるゲーム配信ネットワークの問題としてとらえるだけでなく，すべての家電がネットに接続され，利用情報がオンラインで収集され、料金をはらった(と識別された)人がサービスを受けるという一種の「ユビキタス社会」のプロトタイプとして考える視点も必要だろう．
とりわけ，PSN利用者へどのように働きかければ有効なのかという分析も必要とされている．ゲームは国によって利用者の年齢分布も異なり、また教育制度によっては個人情報保護を学習しなかった世代や学習する前の世代への配慮も必要となる。たとえば日本の情報リテラシーの授業では，パソコンを前提にしたスキル習得やリスク回避を重視しており，モバイル機器やゲーム機器を通じた個人情報流出の対策については教えてこなかった．(米政府機関のUS CERTが2006年にオンラインゲームの利用について注意を呼びかけたことはあるが、モバイルゲーミングは想定されていない．)これは学校教育ではとてもカバーできない範囲であり，たとえば親が子供に自分の名前をゲームで入力したのか，そのときにどんな注意がでたのかを話しあう，といったことからはじめていく必要があるかもしれない．

マルチセクターでの対応

IGDA日本の活動に見られるように，日本のゲーム開発者は企業を越えた草の根のネットワークを育ててきた．同様に，セキュリティ専門家の草の根コミュニティも存在する．ではゲームのセキュリティについてはどうだろうか．ゲームプログラマやオンラインゲームのオペレーターがある程度の草の根ネットワークを持っているのに大して，ゲームセキュリティーの草の根コミュニティはまだ十分に育っていない．
セキュリティ対策には第三者評価を必要とする．過去には，ガンホー・オンライン・エンターテイメントが諮問委員会を設置したこともあるが，今後のセキュリティ対策の改善には産学のコミュニティを横断したネットワーク作りも必要だろう．IGDA日本がそれに貢献できることを願っている．

補足: イメージが先行したハッカー報道

以上，現時点での展望を述べた．最後に報道について個人的な注文を述べたい．すぐれた技術を持った「ハッカー」による攻撃を受けたという報道が散見されるが，そこには一枚板のハッカーグループがいるような誤解がある．PS3で他のOSのインストール機能を復活させようという抜け穴さがしと，ネットワークでのDDoS攻撃や不買運動，システムへの侵入とはそれぞれ異なる活動だ．それぞれ必要とされるスキルも戦略も異なるし，セキュリティ対策も異なる．
ケビン・ポールセンがWIREDの記事で今回の攻撃者に対して「昔だったら『悪ガキがやった』で説明できたけど，今日のアンダーグランドはもっと複雑だ．異なるアジェンダとテクニックとを備えたたくさんの競合するプレイヤーがいる」(In the old days, the answer would be simple: some kid did it. But today’s underground is more complicated — a slew of competing players with different agendas and techniques.)と書いて攻撃者分析を行っているのはこのことを意味している．今日ではハッカーグループというラベルは攻撃者を見積もる上では有効ではないだろう．
(アカデミックな立場からはシステムを守る良質なハッカーの人材育成についても考える必要があるが，それについてはまた別の機会に述べたい．)

Shinji Yamane (IGDA日本アカデミック専門部会)