2023年から2024年にかけて、宇宙航空研究開発機構（JAXA）が複数回のサイバー攻撃を受け、多くの機密情報が流出した可能性が浮上しました。
これにより、NASAや欧州宇宙機関（ESA）などの国際的なパートナーや、防衛関連企業との機密情報が外部に漏れた懸念が生じています。
本記事では、JAXAが受けたサイバー攻撃の詳細、影響、セキュリティの課題、そして国家の対応について詳しく解説します。
JAXAが受けたサイバー攻撃の詳細とは？
JAXAは、2023年6月に最大規模のサイバー攻撃を受け、職員の個人情報や機密指定されたデータが流出した可能性があります。
この攻撃では、JAXAのサーバーに保存されていた1万を超えるファイルが不正アクセスされました。
特に注目すべきは、米マイクロソフトのクラウドサービス「マイクロソフト365」が標的とされ、外部の企業や組織から提供された1千を超えるファイルが含まれていたことです。
JAXAの広報担当者によれば、攻撃は高度な手法を用いたもので、特にVPN（仮想プライベートネットワーク）の脆弱性が悪用されたとされています。
これにより、JAXAの内部ネットワークに不正アクセスが行われ、多くの機密情報が危険にさらされました。
漏洩した情報の中身は？機密情報とその影響を解説
流出した情報には、JAXAと秘密保持契約を結んだ40を超える企業や組織のデータが含まれていました。
これには、NASAやESA、トヨタ自動車、三菱重工、防衛省などの重要なパートナーが含まれます。
特に、防衛関連のデータや航空宇宙技術に関する情報が漏洩した場合、その影響は甚大です。これにより、日本の技術的優位性や安全保障に深刻なリスクが生じる可能性があります。
さらに、JAXA内部の複数の部署からも情報が漏洩した可能性があり、その範囲は宇宙技術や研究開発、事務関連の情報にまで及んでいます。
これにより、JAXAの業務全体に影響が出る恐れがあり、関係者の間では不安が広がっています。
JAXAへのサイバー攻撃の手口を分かりやすく解説
今回のJAXAへのサイバー攻撃は、まず「VPNの脆弱性（セキュリティの弱点）」を利用しました。
VPN（Virtual Private Network）は、インターネット上でデータを暗号化して安全に通信するための技術ですが、これに弱点があったため、攻撃者が侵入することができました。
次に、攻撃者はJAXAが使用していた「MS365（マイクロソフト365）」というクラウドサービスにも不正アクセスを行いました。
MS365は、メールやファイルの保存などをインターネット上で行えるサービスですが、ここにも攻撃が及びました。
攻撃者はこの二つの経路を使って、JAXAのデータにアクセスし、情報を盗み出すことに成功したのです。
クラウドのセキュリティ神話が崩壊！JAXAのケーススタディ
クラウドサービスは万能ではありません。JAXAのケースでは、クラウドのセキュリティ管理が不十分であったことが問題の一因とされています。
クラウドサービスのセキュリティ機能は、利用する組織が求めるものをすべて満たしているわけではなく、その運用管理も組織自体の責任です。
今回の事例は、クラウドセキュリティの運用管理の重要性を改めて浮き彫りにしました。
クラウドサービスの利便性は高いものの、セキュリティリスクを完全に排除することは難しいとされています。
特に、国際的な共同研究を行うJAXAのような組織では、多様なアクセス管理が必要であり、その運用管理が一層重要となります。
国の対応はどうした？政府の対策と今後の展望
JAXAのサイバー攻撃を受けて、政府は迅速に対応を開始しました。
林官房長官や木原防衛大臣、盛山文部科学大臣は、それぞれ対策を強化する方針を示しています。
政府は「内閣サイバーセキュリティセンター」などの専門機関と協力し、詳細な調査を進めています。また、今回の事案を教訓に、日本全体でのサイバーセキュリティ強化が急務とされています。
林官房長官は、JAXAにおいてロケットや衛星の運用などの機微な情報は漏洩していないと強調していますが、詳細な調査結果を待つ必要があります。
今後、政府はセキュリティ対策の強化を進め、再発防止に努めるとしています。
口コミやSNSから見るJAXAへの期待と不安
SNSではJAXAのセキュリティ対策に対する批判や、今後の対策強化への期待が寄せられています。特に、クラウドサービスの利用に伴うリスクや、日本のセキュリティ対策の遅れを指摘する声が多く見られました。
専門家は、クラウドは単なるサービスの箱であり、利用する組織が求めるセキュリティ機能をすべて提供するわけではないと指摘しています。
また、セキュリティの運用管理は組織自体の責任であり、JAXAもその例外ではないと述べています。
別の専門家は、VPNの脆弱性悪用とMS365への不正アクセスが問題の一因であり、他の企業も同様のリスクに晒されていると述べています。
特に、中国系やロシア系の国家支援が疑われる高度な攻撃グループが、クラウドサービスやVPN、ルーターなどのエッジデバイスを標的にしていると警告しています。
ポチップ
