PHPに重大な脆弱性、何か対策する必要ある？
最近、ニュースでPHPに重大な脆弱性が見つかったと報じられました。PHPはウェブサイトの多くを動かしているプログラミング言語で、修正プログラムが公開されています。高市総理もXで注意喚起をされていました。
10月21日の日本時間23時に修正パッチが公開される予定でしたが、公開前に内容の一部が漏洩するというヒューマンエラーがあり、混乱も見られました。マネーセンスカレッジのサイトはすでに修正パッチを適用して対策済みですので、ご安心ください。
結論から言いますと、これは主にウェブサイトを運営する事業者側の問題であり、個人の皆さんに特別な対応は必要ありません。ただ、影響がまったくないとも言えませんので、その点も含めてお話しします。
個人で特別な対応をする必要はない（1:52）
同じ時期に、Node.jsというサーバーで動くプログラムにも脆弱性が見つかっており、事業者にとっては二重の対応で大変な状況です。なお、マネーセンスカレッジのサイトはNode.jsやその派生のものは使っていませんので問題ありません。
PHPの影響が大きいのは、WordPressもPHPで作られているからです。WordPressは全世界のホームページの約4割を占め、PHPを使って構築されているサイトは約7割にのぼるといわれています。発表では10段階中9.2という深刻な評価で、対策をしていないと重大な被害が起こり得る内容でした。
サイト運営者がサーバー管理までできていて、修正パッチを当てていれば問題ありません。しかし、知見に乏しい会社や個人が、自分でパッチを当てなければならないウェブサーバーでは、対応が放置されている可能性があります。対策されていないサイトは、攻撃の踏み台にされるおそれがあります。
最近はAIによって、攻撃者が広い範囲を一気に調べられるようになりました。初期パスワードのまま使われている機器などには、簡単に侵入されかねないとも指摘されています。
趣味でホームページを公開している方は、レンタルサーバーを使っていることが多いと思います。その場合は会社が修正パッチを当ててくれるので、大きな問題はないでしょう。ただ、対応には会社ごとにばらつきがあり、古いバージョンを使っている場合は独自の対応が必要になります。
今回の脆弱性は、被害が出れば深刻ですが、実際に攻撃を成功させる難易度は高めです。現時点で世界的に重大な被害は報告されていません。しかし、水面下で踏み台が作られ続け、将来インターネット上で大きな事件が起きたときに一斉に使われる怖さは残っています。
個人でできることは普段のセキュリティ対策をすること（7:12）
個人でできることは、普段のセキュリティ対策です。昨年は証券会社で、フィッシングによる不正アクセスで不正に売買される被害がありました。
最優先でお願いしたいのは、二段階認証とパスキーの設定です。IDとパスワードが漏れても、不正ログインを防ぐことができます。次に、パスワードの使い回しをやめ、サイトごとに変えてください。長さも重要で、12文字でも十分ではないというレポートもありますので、できれば16文字以上にしましょう。
不審なメールにも注意が必要です。迷惑メールはすでに横行しており、知っているアドレスから届いたように見えても、改ざんや経路の偽装があり得ます。踏み台にされたサーバーから詐欺メールが送られてくる可能性もあります。メールアドレスはすでに漏洩しているくらいの感覚でいたほうがよいでしょう。
証券会社でも、長いパスワードの設定とパスキー、二段階認証が基本です。使わないアプリは削除し、アプリからログインできない設定にしておくことも有効です。さらに、IDとパスワードだけではログインできないようにし、パスキーを必ず通す設定にすると、より安全になります。
コメント返し（11:00）
前回の動画のコメントにいただいたご質問に、分かる範囲でお答えします。
最初は、未成年者口座を親御さんが管理している場合、パスキーは子供の指紋で登録するべきかというご質問です。親権者が証券会社のルールに従って代わりに管理するのであれば、お子さんの指紋にする必要はありません。パスキーは証券会社に指紋を登録するものではなく、端末に保存された鍵を指紋で使えるようにする仕組みだからです。
親の指紋で登録したことだけで、お子さんの資産ではないと判断されることはないと思います。確実なことは言えませんが、税務上の贈与の成立や財産の帰属は実態で判断されます。成人した際には、証券会社の手続きでお子さん自身がログインできるよう引き継いでください。
次は、投資専用パソコンにGmailやAppleアカウントを設定していなければパスキーは盗まれないのか、Yahoo!メールはどうかというご質問です。設定していないからといって、盗まれないとは言い切れません。メールの設定とパスキーの保存や同期は別の仕組みで、Chromeを使っていればGoogleに同期されている場合もあります。Yahoo!メールを使っているだけで、証券会社のパスキーがそこに保存されることはありません。
パスキーの設定時には保存先の選択肢が表示されますので、確認してください。また、証券会社に登録したメールアドレスは口座の復旧にも使われるため、乗っ取られると取り返しがつきません。メールアカウントにもIDとパスワード、多段階認証を設定し、使い回しをしないでください。パソコンに保存する場合も、盗難や不正操作への備えが必要で、暗証番号を1234や誕生日のような簡単なものにしないことが大切です。
三つ目は、パスキーの設定が4桁のPINコードだけで危なくないかというご質問です。4桁だからといって直ちに危険ではありません。PINはパソコン内のパスキーを使うための合言葉で、サイトには送信されず、フィッシング対策にもなっています。ただ、盗難や盗み見には注意が必要ですので、簡単な番号は避け、できれば6桁にしてください。
四つ目は、パスキーの設定が途中で中断され、高齢者には難しすぎるというご意見です。途中で中断された経験はなく理由は分かりませんので、証券会社の公式窓口に相談するのが早いと思います。使っている端末の種類や表示されたメッセージを、スクリーンショットで残しておくと伝えやすくなります。設定は以前より簡単になっていますので、相談しながら進めてください。
最後は、SBI証券の株アプリがスマホに入っているが、ログイン制限の画面に表示されないというご質問です。アプリは入れたままでも構いませんが、使わないなら削除したほうがよいでしょう。パスキーでログインできることと、パスワードでのログインが無効になっていることは別ですので、制限の設定は確認してください。
公式の案内では、株アプリもログイン制限の対象です。表示されない理由はこの質問だけでは分かりませんので、公式の問い合わせ窓口に相談してください。生成AIのチャットボットも多くの場合きちんと答えてくれますので、活用しながら確認しましょう。
まとめ（20:52）
慌てず、普段の対策を続けましょう。PHPの脆弱性への対策は、主にウェブサイトを運営する事業者が、バージョンアップや修正パッチの適用で行うものです。ホームページを持っていない方は、緊急の作業は必要ありません。
ただ、修正パッチを当てていないサイトは相当数あると思われます。そうしたサイトが踏み台にされ、迷惑メールやフィッシング詐欺が増えたり、新たな手口が出てきたりするかもしれません。
皆さんにできる対策は、IDとパスワードの徹底した管理です。パスワードの使い回しを避け、二段階認証とパスキーを設定してください。不審なメールのURLはクリックせず、気になる場合は面倒でも、ブラウザから公式ページを開いて確認しましょう。電話やSNSでの連絡があった場合も、まず公式の窓口から確認するくらいの慎重さを持っていただければと思います。
またこちらの動画「SBI証券が警告！パスキーを設定していても不正ログインの危険？」では、パスキーだけでなく、GoogleやAppleのアカウントも守る3つの対策を解説していますのでぜひご覧ください。
動画目次