サーバー会社の不正アクセスをはてブで知った男が、AIで30分で安全確保した話

■ サーバー会社が不正アクセスされたのを、ニュースサイトで知った

自分が借りているサーバーの会社に、不正アクセスがあった。

知ったのは、はてなブックマークだ。契約している側なのに、事故を知った経路がニュースサイトのブックマーク一覧だった。メールは来ていない。

あとで、さくらインターネットが出しているFAQを読んだ。こう書いてある。

「調査の結果、個別にご連絡が必要と判断されたお客さまには、あらためてご案内いたします。」

連絡は、必要と判断された人にしか行かない。自分のところに来ていないのは、連絡が必要でないからなのか、調べてる最中だから出せないのか、不明だ。

同社が8月17日に出した第一報によると、異常を検知したのは8月9日。レンタルサーバでは583アカウントに不正ログインがあり、「攻撃者により一部のサーバーにマルウェアが設置されていたことを確認しております」とある。2日後の第二報では、契約情報を管理する別のシステムにも侵入された可能性が出てきた。

「対象となる可能性のある会員情報総数は1,360,563アカウントです。」

136万だ。自分もはいっていると考えて動いたほうが良いと判断した。

■ 点検はClaude Codeに投げた

使ったのはClaude Codeだ。こちらのサーバーに自分で入り、コマンドを打ち、返ってきた中身を読んで、次に何を見るかを自分で決める。

投げたのは一行だ。

「さくらインターネットで不正アクセスがあった。不正なアクセスが行われていないかチェックして」

あとはAIが順に見ていった。入る鍵が増えていないか。会社の管理画面から入られていないか。OSを入れ直された形跡がないか。外から触れる場所が増えていないか。

総当たりのログイン試行は4842回あった。ただし自分のアカウント名を狙った失敗は0件で、残りは「ubuntu」「admin」といった当てずっぽうだった。

侵入の痕跡はゼロ。チェックは30分かかっていない。

チェックの過程でAIが3回、やらかした。

■ 攻撃が成功しているように見えた

Webサーバーの記録に、攻撃者が探りに来たURLが並んでいて、そのいくつかに「成功」を意味する応答が返っていた。存在しないはずのファイルに対して、20万バイトのデータが返っている。

ここで「侵害の疑いあり」と報告されていたら、危なかった。

AIは結論を出さず、同じURLを自分で叩いて中身を確かめた。返ってきたのは、自作のアプリの最初の画面だった。どんなURLを叩かれてもアプリを表示する作りにしていたため、記録の上では「成功」に見えていた。

侵害ではなかった。

■ 守れているつもりの設定が、効いていなかった

代わりに、本物の不備が出てきた。

以前、攻撃してきたIPアドレスを4つ手作業でブロックしてあった。そのブロックが、通信を許可するルールより後ろに並んでいた。この種のルールは先に一致したものが勝つので、後ろに置かれた拒否には出番が来ない。ブロックしたつもりで、していなかった。

順番を入れ替えて直した。効いていない状態のまま、長いこと置いていたことになる。

■ 「閉じろ」に聞き返したら、逆の答えが出てきた

同じ流れで、AIがもう1つ指摘してきた。使っていない出入口が開いたままなので閉じたほうがいい、という内容だ。

もっともらしい話だった。だが、これは以前必要で開けていたものだ。そう伝えたうえで、閉じて困ることはないのかと聞き返した。

AIは調べ直して、前言を取り消した。このサーバーは、設定に書いてある出入口の番号を起動のたびに読み直して、そこで待つ仕組みになっている。もし設定が何かの拍子に消えれば、サーバーは元の番号に戻ってそちらで待つ。そのとき元の番号を閉じてあれば、こちらはどこからも入れない。残る復旧手段は、いま不正アクセスを受けているまさにその会社の管理画面だけになる。

言われたとおりに閉じていれば、自分が自分のサーバーから締め出されていた。

■ 作業は消えるが、判断は消えない

43項目を見て、誤検知を1つ潰して、本物の不備を1つ見つけた。この作業量をほぼ、自分で手を動かしてはいない。

ただ、AIの出力は正解も間違いも同じ顔で出てくる。「侵害の疑いあり」も「閉じたほうがいい」も、口調はまったく同じだった。片方は自分で確かめて自分で取り下げ、もう片方は聞き返すまで取り下げなかった。

分けたのは、こちらが一つ突いたかどうかだけだ。

作業を任せると手は空く。空いた手でやることが「なんで?」と聞き返すことになる。

■ 暗号資産のハッキングで発表を待っていた2か月

2018年、暗号資産の取引所 Coincheckがハッキングにあった。自分はそこにほぼ全財産を置いていた。

あの時出来たことは、だだ待つことだけ。取引所の続報を読んで待つ。自分の資産がどうなっているのかを自分で確かめる手立ては、どこにもなかった。2か月くらい、生きた心地がしなかった。

今回は待っていない。第一報を見た日に自分のサーバーを開けて、鍵の数を数えて、記録をさかのぼって、外から叩いて、その日のうちに結論を出した。会社の調査が終わるより先に、自分のところは白だと分かっていた。

差を作っていたのは、自分で確かめる手立てがあるかどうかだ。

■ 発表を待つ理由がなくなった

事業者の発表が遅いのは、隠しているからではない。全体を調べて確定させてから出すからだ。異常の検知から第一報まで8日かかっている。しかも連絡は、必要と判断された人にしか届かない。待つ側は、いつまでも自分がどうなのかを知らないままになる。

その空白を、いまは自分で埋められる。減ったのは手を動かす時間のほうで、要るものが消えたわけではない。返ってきた答えに引っかかれるだけの土地勘は、持っていた分だけ効く。

点検で自分がやったのは、コマンドを3回貼り付けることだけだった。それで、効いていない拒否ルールが4つ出てきた。会社の発表をいくら待っても、自分の側のこの穴は出てこない。

会社からの連絡は、この記事を書いている今も来ていない。自分の答えは、あの日のうちに出ていた。

───

AI時代の一人稼ぎの記事のみ読みたい方は、マガジンのフォローがおすすめです。