ISPワンオペ物語　７

第7部　ISPをやっていると、警察から電話が来ることがある

インターネット事業者とサイバー犯罪

最近は、不正アクセスやサイバー攻撃、情報漏えいに関するニュースを目にする機会が増えたように感じます。
さまざまな企業から、顧客情報が漏えいしたという発表が出ています。

実は、私自身も、そうした企業から何通かの謝罪メールを受け取っています。

被害に遭われた企業の方々、そして、その対応に追われている現場の皆さん、本当にお疲れ様です。

ニュースでは、情報漏えいや不正アクセスが発生したという結果が報じられます。
しかし、その裏側では、原因を調査し、被害の拡大を防ぎ、サービスを復旧させるために、多くの人が対応しています。

ISPも、そうしたサイバー犯罪と無関係ではありません。

私の経験でも、警察から問い合わせを受け、保有している記録を確認することがあります。
その際は、問い合わせの内容を確認し、社内の手続きに沿って対応します。

サーバーを復旧させるだけでは終わらない

不正アクセスなどの問題が発生すると、まずは自社のサーバーやシステムに対するセキュリティ対策を行います。

原因を調べ、必要な対策を施し、サービスを復旧させる。

もちろん、これが最優先です。
しかし、そこで仕事が終わるわけではありません。

並行して行われるのが、アクセス元の調査です。

正常なアクセスであっても、不正なアクセスであっても、サーバーには通信の記録が残ります。

一般的には、アクセスログと呼ばれるもの。
ログには、接続元のIPアドレスやアクセス日時など、調査に役立つ情報が記録されています。

こうした情報を手掛かりに、どこからアクセスが行われたのかを追っていきます。

インターネット上の通信は、目に見えません。
しかし、その通信の痕跡は、ログという形で残っているのです。

IPアドレスから契約者を探す

では、アクセス元のIPアドレスが分かったら、すぐに利用者を特定できるのでしょうか。

実は、そう簡単ではありません。

IPアドレスは、インターネットに接続するために使われる識別情報です。
ISPは、そのIPアドレスをいつ、どの契約者に割り当てていたのかという情報を管理しています。
その情報を照合することで、該当する契約者を確認していきます。

ただし、IPアドレスだけで契約者が分かるわけではありません。
接続日時や、必要に応じてポート番号などの情報も重要です。

特に、複数の利用者で一つのグローバルIPアドレスを共有する仕組みでは、ポート番号がなければ利用者を絞り込めません。

そのため、情報開示の請求や調査では、IPアドレスだけでなく、接続日時やポート番号などがセットで示されることがあります。

こうした情報をもとに、関係する事業者が保有する記録を確認していくのです。

一次ISPと二次ISP

ここで、少しISPの仕組みについて説明します。

ISPには、IPアドレスや接続設備を管理する事業者と、そこから回線や接続機能の提供を受けてサービスを販売する事業者があります。

便宜上、ここでは前者を一次ISP、後者を二次ISPと呼びます。

私が担当しているISPは、二次ISPにあたります。
IPアドレスの割り当てや接続情報を管理している事業者と、私たちのように契約者情報を管理している事業者が分かれているケースがあります。

私が経験してきた案件では、まず一次ISP側に問い合わせが行われ、そこから契約者情報を管理している二次ISPへ確認が回ってくる、という流れがありました。

つまり、一次ISPで分かる情報と、二次ISPで分かる情報が異なるのです。

そのため、確認は二回に分かれて行われ、時間がかかってしまいます。
もちろん、現在は制度改正によって、従来のような二段階の手続きだけではなく、一体的に進められる仕組みも設けられています。

ただ、実際の業務では、どの事業者がどの情報を保有しているのかを確認しながら対応する必要があります。

届いた情報を見て、思うこと

情報開示や調査に関する問い合わせでは、接続日時とIPアドレス、場合によってはポート番号などが指定されます。
そして、私がその情報を確認するとき、気になることがあります。

それは、対象となる接続日時が、かなり過去の日付であることも多いということです。
ログを見ると、「この通信が行われたのは1年以上前か」と思うこともあります。

その頃、私は何をしていたかなと思うほど昔の記録です。

その情報を見ながら、「ここまでたどり着くのに、ずいぶん時間がかかったんだな」と、しみじみ考えることがあります。

インターネットの通信記録は、いつまでも残っているわけではありません。

だからこそ、必要なログを適切に保管し、必要なときに確認できることが重要になります。
ISPにとって、ログの管理も大切な仕事の一つなのです。

契約者が犯人とは限らない

さて、ここまで調査が進むと、該当するIPアドレスを利用していた契約者が分かる場合があります。

しかし、ここで話は終わりません。
近年、特に注意しなければならないのが、契約者本人が不正アクセスを行ったとは限らないということです。

例えば、家庭内のルーターやパソコンがマルウェアに感染していた場合です。

外部から遠隔操作され、契約者が知らないうちに、その機器が不正アクセスなどに悪用されてしまうことがあります。

本人は普段どおりインターネットを使っているだけ。
ところが、その裏側では、第三者が機器を操作している。
契約者自身には、まったく心当たりがない。

そんな可能性も考えなければなりません。

つまり、IPアドレスや接続日時などの情報を照合すると、その時点で該当の回線を契約していた人を確認できる場合があります。
ただし、それだけで実際に通信を行った人や、不正アクセスをした人まで分かるわけではありません。

ここを間違えてはいけません。

警察とISPが連携する

こうしたケースでは、警察とISPが連携して、状況を確認することがあります。

契約者本人が関与しているのか。
それとも、利用しているルーターやパソコンなどの機器に問題があるのか。
必要な情報を確認しながら、原因を切り分けていきます。

ISP側としても、契約者情報を確認して終わり、というわけにはいきません。

問い合わせの内容を理解し、保有している情報を確認し、必要に応じて関係部署や関係事業者と連携する。
そして、警察からの問い合わせに対応することになります。

ここでも、私の仕事は技術的な調査だけでは終わりません。
相手の話を聞き、状況を整理し、何を確認すればよいのかを考える。

気がつけば、またしても「お困りごと相談センター」のような状態になっているのです。

インターネットの治安を守る仕事

インターネットが一般に広がり始めた頃を知っている私としては、今の状況に複雑な思いがあります。

当時は、インターネットで世界中の情報に触れられることや、遠く離れた人と簡単につながれることに、大きな可能性を感じていました。

便利で、面白くて、新しい世界が広がっていく。
そんな印象でした。
もちろん、当時から不正利用や迷惑行為がなかったわけではありません。

それでも、今のようにサイバー攻撃や情報漏えいのニュースが日常的に流れる状況を見ると、インターネットを取り巻く環境もずいぶん変わったと感じます。

少し、汚れてしまったような印象を受けることもあります。
便利さや可能性を感じていたインターネットで、不正利用や被害のニュースを目にするたび、複雑な気持ちになります。

そして、今の生活にインターネットが欠かせないことも事実です。

だからこそ、安心して使い続けられる環境を守っていかなければなりません。

私は、通信事業者やベンダー、社内の関係部署、そして警察など、さまざまなところと連携しながら、日々の業務に取り組んでいます。

障害を復旧させるだけがISPの仕事ではありません。

不正利用を防ぎ、問題が起きたときには調査に協力し、インターネットの安全を支えることも、その役割の一つです。

普段は見えない仕事です。
おそらく、多くの人は一生知らないままかもしれません。

それでも今日も、どこかで誰かがログを追い、調査に協力し、インターネットの安全を支えています。

それもまた、ISPの仕事なのです。

次は、第8部 IPv4、IPv6、PPPoE、IPoE……何を言っているのか分からない？　になります。
＃この記事は全10回を掲載しています。目次はこちらからご覧ください。