偽造クッキー（Cookie）で大量アカウント流出、米ヤフーが2年間気付けなかった理由
3月1日、米Yahoo!（以下、ヤフー）は、過去に発生した2件の大規模なサイバーインシデントによる被害を発表し、米証券取引委員会（SEC）に詳細を報告した。2件のインシデントとは、2014年に発生した5億人分のアカウント情報の漏えい（すでに公表済）と、新たに発覚した2013年の10億人のアカウント情報の漏えいのことだ。この攻撃の中で、3200万人のアカウントに対し、偽造クッキーによる不正アクセスも確認された。偽造クッキーとはいったいどのように造られ、どのような被害を及ぼすのだろうか。
●クッキーが偽造されるとどうなるか
ヤフーが3月に発表したインシデント報告は、過去に億単位のユーザー情報が漏えいしていたこともさることながら、米証券取引委員会（SEC）への報告書では、攻撃元について国家的なグループの存在を示唆しており、かなり高度な攻撃だったと主張している。
内部の秘密情報にアクセスし、ソースコードレベルでクッキーの詳細情報を盗んだうえ、偽造クッキーを生成し、3200万人ものユーザーの通信に対し、不正アクセスが行われてきたことを挙げている。
これがなぜ国家が関与するような高度な攻撃なのかを説明する前に、そもそもWebの世界における「クッキー」とはどういうものかを簡単に説明しよう。
クッキーとは、HTTP／HTTPS通信において、Webサーバーが、特定ユーザーのアクセスであることを把握するための仕組みである。
たとえば、ログインの必要があるサイトを利用する際に、アクセスするたびにIDとパスワードを入力せずに利用できるのは、クッキーによって前回のログイン状態を保持するような処理をしているためだ。ほかにも、前回アクセスしたページから再開できるようにしたり、ユーザーごとにセッション管理をしたりといったことを可能にするのがクッキーのメリットである。
クッキーの情報は、ユーザーごとにサーバーが割り当てたセッションIDをベースに構成される。あるユーザーからのアクセスにクッキー情報があれば、サーバーはそのクッキーに対応したセッション情報によって、ログイン状態を引き継ぐことができる。
●内部情報からクッキーの作り方を盗むという攻撃
注意しておきたいのは、クッキーによるログイン状態の保持は、ID・パスワードによる認証を行っているというわけではない。そのユーザーのセッションIDが一致すれば前回（または以前）に認証済みのアカウントとして扱っている。
つまり、誰かのセッションIDがわかれば、そのユーザーになりすましてWebサイトにアクセスしたり、サーバーからの応答を横取りしたりすることができてしまうのだ。
しかし通常は、どのセッションIDが誰のもので、どのようにして決まるのかといった情報は、Webサイトを設計、構築した人、内部資料でしかわからない。
これまでにもクッキーを詐称したり盗んだりする事例はあった。たとえば、XSSや通信路の傍受など、なんらかの方法でセッションIDを入手する方法や、クッキーのドメイン情報に、都道府県ドメインやホスティングサービスのドメインを指定できてしまい、特定ユーザーごとのクッキーでなくなるといった脆弱性「クッキーモンスターバグ」を利用した方法など主なものだった。
これに対して、今回ヤフーが受けた3200万件ものクッキー偽造の事例は、過去のそれとは毛色が異なるものだ。攻撃者は何らかの方法で正規のクッキーを詐称するため、ヤフーのサーバーや内部システムまで侵入し、その生成情報を入手したと思われる。
そこまで社内のシステムに入り込み、ピンポイントでクッキーのセッションIDの詳細情報にアクセスできたということは、それなりの技術力を持った攻撃者、国家による支援を受けたグループが疑われるというのがヤフーの主張だ。
●ベライゾンによる買収との関連は？
ヤフーでは現在までに、問題のクッキー（セッションID）は無効とし、不正アクセスを受けたと思われるユーザーに個別の通知、対応を開始しているという。
いまのところ、不正アクセスされたユーザーに大きな被害は発生していない模様だ。また、インシデントの責任をとる形でCEOらの報酬の減額なども発表されている。
この攻撃について、一部の報道ではベライゾンが計画しているヤフーの買収計画との関連を示唆するものもある、サイバーインシデントが明るみにでることで、買収額を下げることができるという見立てだ。
しかし、攻撃が始まった年を考えると、その可能性は低いと言わざるを得ない。報告書では、2013年と2014年に発生した攻撃としているが、ベライゾンによるヤフー買収の話は昨年からの話だ。
●犯人の目的はヤフーユーザーへの不正アクセスだけだったのか？
とはいえ、2年以上も発見されずサーバーへの侵入や、内部的な情報を盗み、大量のクッキーを偽造していたというのは、かなり高度な組織的な意図があった攻撃といえる。仮にヤフーが侵入や偽造が簡単に見抜けなかった理由を攻撃側に多少なりとも転嫁したい意図があったとしても、である。
そもそも、攻撃者はクッキーのセッションIDに関する内部情報までたどりつけている。それほど深くシステムに侵入し、しかも1年という単位で活動していたと思われる。
いわゆるAPT攻撃と呼んでもよいレベルで、アカウント情報が欲しいなら、ユーザー情報のデータベースにアクセスできてもおかしくない。大量の偽造クッキーによって、多数のユーザーの動向を探っていたり、なりすましを行っていたりしたとしたら、ヤフーは、その意図を慎重に分析すべきだろう。
ヤフー「新卒一括採用廃止」、どう思いますか
2016年10月3日。ヤフーは「新卒一括採用を廃止し、新卒や既卒、第二新卒など経歴に関わらず30歳以下の方を対象とした『ポテンシャル採用』を開始する」と発表した。「新卒一括採用廃止」という言葉からは、即戦力採用だけになるのでは、との誤解が生まれやすいが、実際は逆だ。その狙いは、新卒者を含めた”ポテンシャル重視”の採用をもっと強化しよう、というものである。
■即戦力のみ、というわけではない
ヤフーではこれまで、大学などの新卒者を対象とする「新卒採用」と、特定の職種について他社での就業経験を持つ人を対象とする「中途採用」を行っていた。ただし、これだと募集職種の就業経験のない人は、専門分野の知識・スキルが求められる「中途採用」の枠組みからはずれてしまい、採用選考の機会はないことになる。
たとえば、金融機関で働いている人がインターネットに関心を持ったとしても、ITやWEBの専門知識が求められるとなると、応募のハードルは高くなる。一方、フィンテック(金融+技術)への関心が高まっているIT業界としては、金融の知識を持った人も必要となってきている。それらの人にも応募の機会、採用選考の機会を提供しようとするのが、今回の”ポテンシャル採用”の狙いだ。
応募条件は入社時に18歳以上、または応募時に30歳以下であれば、新卒・既卒を問わず応募できる。職種はエンジニアやデザイナー、営業職など全職種を対象としており、通年で応募が可能となっている。既卒の場合には入社時期は通年で選択可能、新卒の場合には卒業時期に合わせて4月もしくは10月入社としている。他社で就業経験のある既卒者であっても、新卒者と同じ基礎的な教育研修から受けられるのが特徴だ。
ヤフーのポテンシャル採用は、従来の「既卒者も応募可能な新卒求人」とは、考え方が根本から異なる。既卒者も応募可能な新卒求人では、あくまでも募集のメイン対象は新卒者であり、既卒者も入社時期は4月(または10月)とされる。これに対してヤフーのポテンシャル採用は、募集の対象は新卒者を含む、18歳～30歳の人すべてである。
つまりメイン対象が新卒者とされているわけではない。それどころか新卒者は募集対象の一部でしかないといった方がいいだろう。したがって、入社時期は4月に限定されることなく、通年である。新卒者の場合には卒業時期を考慮して、4月もしくは10月入社となるだけである。
■即戦力というより、入社後に育成する
既卒者も応募可能な新卒求人では、本来は新卒者を対象とした採用枠を既卒者にも開放しているわけで、既卒者から内定者が出れば、その分だけ新卒者の採用枠が減ってしまうことを意味している。つまり、既卒者にとっては応募企業の選択肢が広がりメリットのある制度ではあるが、新卒者からすれば自分たちの採用枠が狭くなる可能性を持った”歓迎されざる制度”といってもよかった。一方、今回のヤフーのポテンシャル採用は、新卒枠を既卒者にも解放したという考え方ではない。新卒者、既卒者の区別のない、若年層の採用枠という考え方に立っている。
新卒採用を語るとき、日本の新卒一括採用が学生の就活をダメにしている、ミスマッチによって3年で3割の早期離職者を生んでいる、もっと欧米の就職システムを見習うべきだ、といった意見が出てくる。
新卒一括採用廃止と聞くと、日本型の採用システムから欧米型の採用システムへと近づいたように感じられるが、今回のヤフーの考え方は、実は全く逆である。欧米型の採用システムへ近づくどころか、従来の新卒一括採用よりもさらに日本型の採用システムを強化した、といった方がよいだろう。
ポテンシャル(潜在能力)採用とは、日本の新卒採用における概念であり、入社後に自社で育てることを前提にしている。一方、欧米型の採用は、日本での既卒者採用に多いように、特定の職種やポジションを前提にして、就業経験やスキルを重視した即戦力採用である。ところが、今回ヤフーは、既卒者採用においても入社後の育成を伴う、日本独自の「ポテンシャル採用の概念を持ち込んだのだ。
さらには対象年齢においても、青少年雇用機会確保指針で第二新卒として定義された「卒業後3年以内」とされていた枠を、「30歳以下」にまで広げている。また入社時点で「18歳以上」としており、大学卒業を前提にしているわけでもない。短大・専門学校卒はもちろんのこと、大学中退や高卒者までもが対象に含まれる。学歴にとらわれない、ポテンシャル重視の姿勢が貫かれているといえる。
■3分の2の企業は新卒一括採用を継続
新たな動きが出ている一方で、大多数の企業で新卒採用の考え方は変わらない。HR総研では、企業の採用担当者を対象に、新卒一括採用を継続するのか、それとも廃止する方向で考えているのか、今後の採用方式の方針を聞いている。結果を見ると、3分の2以上の企業が「新卒一括採用を継続する予定」と回答し、「通年採用をすでに導入済み、または導入する予定」(9％)と「通年採用の導入を検討する」(16％)と併せても25％にとどまる。
通年採用は、採用担当や企業側の負担が大きく、どの企業にもできるものではない。対応できる企業は、ある程度の規模や採用部門のマンパワーのある企業に限られてくる。ヤフーの新卒一括採用廃止の報道を受けて、他社の採用担当者はどんな感想を持ったのだろうか。寄せられた採用担当者のコメントを見てみよう。
・新卒・既卒の分類を止めて採用することだろうと理解した。飛び級で若者を採用(内定？ )することもあれば、競合他社からのヘッドハンティングもあるということで、外資の競合企業の採用状況を考慮すれば当たり前の選択だと思う(従業員規模301～1000名、サービス)。
・本来はそうあるべきだが、全体としての大きな流れになるには時間がかかると思う。比較的、特徴のある人材を採用するにはよい手段、と考える(従業員規模1001名以上、サービス)。
・より本来の意味のインターンが、採用の正規ルートになる。早期から学生へのキャリア教育および、企業認知度向上をする必要がある(1001名以上、メーカー)。
・一括採用廃止となると、採用担当としてはスケジュールが読めなくて辛いところもあるので、広報解禁は一律にして、選考開始は各社各々スタートがよいと思う(1001名以上、情報・通信)。
・少子化対策などから画一的な新卒採用活動はどんどん変わっていくと考えている。(1001名以上、商社・流通)。
・新興企業、IT企業、ベンチャー企業の動きは、特別な動きとして見られている。歴史ある重厚長大の業界から声が出だしたら、社会全体が変化していくものだと思う(301～1000名、サービス)。
・人材もジャストインタイムの時代だ。必要なときに必要だけ採用する。年次スケジュールでいつも市場が動いているわけではない。ある意味で合理的だ(301～1000名、メーカー)。
・各々の会社の人事戦略や求める人材像によって、新卒一括採用が有効な企業もあれば、意味をなさない企業もあるため、一概にはいえない。もっとも、採用戦略といえるものをこれまであまり描く必要がなかった企業からすれば、改めてその意義を問うきっかけとなると考える(1001名以上、メーカー)。
・経験者(即戦力)の採用を強化していくイメージを持った。学校を卒業してすぐに採用をするのではなく、自身のキャリア目標を持った経験者を採用していく方が、ミスマッチが少ないのかもしれない(300名以下、サービス)。
・グローバル社会の中で社会全体がその流れになっていくのが当然だと感じる。よい人材を確保するために時期的制限を設けるのは不利となる(300名以下、メーカー)。
・このような企業が出てきてよいと思うし、企業側にとっても学生側にとっても、もっと自由度がある形態が望ましいと思う(300名以下、メーカー)。
・就職活動の多様化だけでなく、新卒以外にも平等に採用の機会を提供して優秀な人材を採用する、よい方法だと思う(300名以下、情報・通信)。
・自社にあった採用活動を実施すべきで、ヤフーにとっての採用のあり方を考えた結果だろう。参考にはなるが、それほど騒ぐ必要はない、と考えている(1001名以上、メーカー)。
・新卒一括採用はデメリットもあるとは思うが、現状ではメリットの方が大きいと考えている。このまましばらく続いていくのではないか(1001名以上、情報・通信)
・新卒採用専任の担当者が数多くいる大企業なら可能だが、中小企業には一括採用でないとマンパワー的に厳しい(301～1000名、メーカー)。
・理想は通年採用であるが、採用にかかる人員・労力は大きくなると思われる。また、新卒一括採用は若年者の雇用を上げることに貢献していると思うので、なくなると就職できない学生が増える可能性があると思う(1001名以上、メーカー)。
・その企業に合う採用方法を導入すればよい。学生は通年だとどうやって進めていいか困るのではないか？ (301～1000名、メーカー)。
・大手企業、ベンチャー企業など、マスコミに取り上げられやすい一部の企業の話であって、弊社のような普通の中堅企業では対応することのできない手法に思う(301～1000名、メーカー)。
■ヤフーの成否を各社は注視している
結局、通年採用は理想形ではあるが、予算やマンパワーを考えると、とても導入はできないと足踏みをする企業がまだまだ大半のようだ。
ただし、今回のヤフーの試みが、著しく目覚ましい採用成果を挙げることができたとなったら、追随する企業はもっと出てくることであろう。もしかしたら、IT系に限らず、腰が重いとされる重厚長大企業や、お堅い金融系企業にも広がるかもしれない。就活生もヤフー型の「新卒一括採用廃止」に注目しておいた方がいい。
