阿部寛さんのHPも、ソフトバンクの地震速報も止まった。PHPショックで見えた“奪われにくい資産”

「全てを盗め。何も残すな」

今週、インターネット上に公開された攻撃プログラムのページに、こんな物騒な一文が書かれていたと報じられました。

10月20日、ウェブサイトの裏側で広く使われているプログラミング言語「PHP」に、深刻な欠陥が2件見つかったと発表されました。深刻度はどちらも10点満点で「9.2」。修正版は日本時間21日の夜に公開されました。

それから数日。すき家ではアプリからの注文が止まり、はま寿司は来店予約を一時停止。ソフトバンクでは緊急地震速報や津波警報まで受け取れない状態になりました。

そしてネットでは、阿部寛さんのホームページまで緊急メンテナンスに入ったと大きな話題になりました。

平成初期のようなシンプルな作りで、どんな回線でも一瞬で開くことで知られる、あのページです。「最後の砦が落ちた」と驚いた方も多いと思います。

その一方で、FXの自動売買をしていた人からは、「およそ430万円あった口座が、6000円ほどまで減ってしまった」という声が報じられています（TBS NEWS DIG）。

神戸で30年近く不動産の仕事をしてきた私は、このニュースを見て、ふと思いました。

「不動産って、こういう攻撃に強いよな」

考えてみると、そこには私たちが毎日当たり前にやっている仕事が、深く関係していました。

PHPって何？　なぜ一斉に止まったのか

PHPは、ネットショップや予約サイト、会員ページなど、ウェブサイトの「裏側」で動いているプログラミング言語です。世界中の非常に多くのサイトが使っています。

不動産屋らしくたとえると、「世界中の建物に、同じメーカーの鍵が付いている」ような状態です。

その鍵に欠陥が見つかれば、どの建物も同時に危なくなります。だから業種も規模も関係なく、あちこちのサービスが一斉にメンテナンスに入りました。

しかも専門家によると、今回は修理部品（修正プログラム）が届く前から、泥棒が動き出していたといいます。これを「ゼロデイ攻撃」と呼びます。

ネットの資産は「鍵一本」の世界

FXの件で狙われたのは、GMOインターネットが提供するFX自動売買向けのサーバー「お名前.com デスクトップクラウド」です。

同社の発表では、第三者の不正アクセスで一部の利用者のサーバーに不正なプログラムが置かれ、影響の可能性があるサーバーは2万6739件。サーバーの中に保存されていた情報が見られた可能性がある、としています。

自動売買をするには、サーバーにFX口座のIDとパスワードを入れておくことが多くあります。それが見られれば、口座の中身を他人に動かされるおそれがあります。

なお、被害の有無や範囲について同社は調査中としており、今回のPHPの欠陥との関係も、この記事を書いている時点では明らかになっていません。

ここで大事なのは、ネットの資産は基本的に「IDとパスワードが合えば、中身を全部動かせる」仕組みだということです。

便利さと引き換えに、鍵は一本しかありません。

「でも、パスキーや二段階認証があるでしょう？」と思われた方もいるかもしれません。

確かにネットの世界でも、スマホの指紋や顔認証でログインするパスキーや、パスワードのあとにスマホに届く番号を入れる二段階認証で、鍵を増やすことはできます。

ところが今回の件には、面白い落とし穴があります。

自動売買は、人が寝ている間もサーバーが自動でログインして取引する仕組みです。そのため、「人がその場にいること」を前提にした鍵が使いにくいのです。

結局、IDとパスワードをサーバーの中に保存しておくことになり、そこが見られた可能性がある。便利さのために、わざわざ鍵を一本に戻していたとも言えます。

それに、鍵を何本増やしても、ネットの確認は「機械が、一瞬で、同じ画面の中で」行うものです。スマホごと乗っ取られれば、全部の鍵が一度に開いてしまうこともあります。

この点を覚えておいて、次の不動産の話を読んでみてください。

不動産の売買には「鍵が四本」ある

では、不動産はどうでしょうか。

不動産を売っていただくとき、私たち業者は、知らず知らずのうちに次のような確認をしています。

一本目　店頭での確認 ―「誰で、本当に権利を持っているか」

まず身分証明書で、ご本人であることを確かめます。

そして権利証や登記識別情報（昔の権利証にあたる、12桁の英数字の符号）を見せていただき、その方が本当に所有者なのかを確認します。

二本目　ご自宅への訪問 ―「書類の住所に、本当に住んでいるか」

私たちは、売主さんのご自宅にうかがうことがよくあります。

実はこれが、公的書類に書かれた住所の確認になっています。

免許証やマイナンバーカードの住所に、本当にその方が住んでいるのか。玄関で本人が出迎えてくださり、生活の気配がある。この状況まで偽装するのは、とても難しいことです。

銀行がネットで口座を作るとき、最後に「転送不要郵便」でカードを送ってくるのも同じ考え方です。ただ、郵便は受け取れば終わりですが、訪問は顔を合わせ、家の様子まで見ています。

三本目　銀行口座の確認 ―「お金は本人のところへ行くか」

契約のときには、代金を振り込む銀行口座も確認します。

売買代金が、所有者ご本人の名義の口座に入るかどうか。お金の行き先も、本人確認の一部になっています。

四本目　司法書士の先生の対面確認 ―「本当に売るつもりか」

最後に、決済の場で司法書士の先生がご本人と顔を合わせて、本人であることと、本当に売る意思があるのかを確かめます。

ここで少しでもおかしな点があれば、名義の変更（登記）は申請されません。

こうして並べると、それぞれ違う人が、違う場面で、違うことを確かめていることがわかります。

身分証は「その人が誰か」。自宅訪問は「その人がどこにいるか」。口座は「お金がどこへ行くか」。司法書士の確認は「本当に売るつもりか」。

どれか一本でも合わなければ、取引はそこで止まります。

さらに言えば、書類だけではありません。話しぶりや受け答え、暮らしぶり、売却の理由に無理がないか。長くこの仕事をしていると、「何となくおかしい」という違和感を拾えるようになります。これはまだ、システムには真似のできない部分です。

正直に言うと、私たちはこれを「セキュリティ」だと思ってやってきたわけではありません。ただの業務の手順でした。

でも外から見ると、知らず知らずのうちに、本人確認の精度を何重にも上げていたのです。

「面倒くさい」は最強のセキュリティだった

売るのに時間がかかる。手続きが面倒。すぐに現金にできない。

不動産の弱点として、昔から言われてきたことです。

ところが今回のニュースを見ると、景色がまるで逆に見えてきます。

クリック一つで動かせる資産は、クリック一つで奪われる。

手間がかかる資産は、奪うのにも手間がかかる。

不動産の「面倒くささ」は、サイバー攻撃の時代には、そのまま盾になっているのです。

それでも破られた例 ― 積水ハウスの事件

では、不動産は完璧なのかというと、そうではありません。

2017年には、大手ハウスメーカーの積水ハウスが、土地の持ち主になりすました地面師グループに約55億円をだまし取られる事件がありました。

ただ、あの事件では、偽造書類や替え玉を周到に用意し、時間をかけてようやく関門を突破しています。

一つの欠陥で何万件もが一斉に危険にさらされるネットの世界とは、攻撃にかかる手間の桁がまるで違います。

破れないわけではない。でも、破るのが割に合わない。これが不動産の強さだと思います。

ただし、お金と情報の「通り道」は別

ここまで読んで「不動産なら安心」と思われた方に、ひとつだけお伝えしておきます。

土地や建物そのものは奪われにくくても、そのまわりを流れるお金と情報は、FX口座と同じように狙われます。

家賃が振り込まれる銀行口座。決済の直前に届く「振込先が変わりました」という偽のメール。管理会社が預かっている入居者の免許証や連絡先。

建物は無事でも、ここを破られれば被害は出ます。

振込先の変更の連絡が来たら、メールに書かれた番号ではなく、もともと知っている番号に電話して本人に確かめる。それだけでも防げることはたくさんあります。

当たり前の手間が、資産を守っている

今回のPHPショックで、私たちが毎日やってきた確認作業の意味を、あらためて見直すことになりました。

店頭で書類を確かめ、ご自宅にうかがい、口座を確認し、最後は司法書士の先生が顔を合わせる。

デジタルの世界では「無駄」に見えるかもしれないこの手間こそが、オーナーさんの大切な資産を守っています。

これからも、この面倒な確認を省かずに、一件一件やっていこうと思います。