DAIV

[DAIV @DAIV_feed]

常識とは、あるコミニュティのなかでの多数派が考える基準で普遍性も論理性も無い事が多い

生産年齢での昭和世代は
今でこそ多数が認めているが
実はもう数十年前に
マイノリティ側
つまり
非常識世代になっていた

[DAIV @DAIV_feed]

グリコ森永事件
若い人は知らないだろーなー

[SOU⚡️投資ニュース / 米国株・日本株・仮想通貨・AI @SOU_BTC]

【速報】🚨GMOへのハッキング集団を名乗る人物、24時間で66億円相当の口座を破壊したと主張

GMOの「お名前.com デスクトップクラウド」で発生した不正アクセスをめぐり、攻撃者を名乗る人物が、被害状況やGMOとの交渉経緯を掲載したWebサイトを公開しています。

掲載内容によると、

・顧客口座の15%をすでに破壊
・24時間で約66億円相当の口座を破壊
・現在も攻撃を継続中
・GMOからの返答は一度もない
・GMOが交渉に応じれば攻撃を停止

と主張しています。

攻撃者を名乗る人物は、もともと顧客の資産を失わせるつもりはなく、GMOに金銭の支払いを要求していたと説明。

しかし、GMOが応じなかったため、利用者のFX取引口座に対する攻撃を開始したとしています。

さらに、口座残高をすべて消失させた後は、資金損失以上の被害をもたらす可能性があると警告しています。

なお、GMOは不正アクセスの発生を公式に認めていますが、15%や66億円という被害規模は攻撃者を名乗る側の主張であり、確認された数字ではありません。

[DAIV @DAIV_feed]

慧眼！

[田中悠斗＠Fore- @tanaka_yuto]

「AIによる100%成功するハッキング」が現実になったとき、何が終わるのか。

多くの人はまず、
銀行が危ない、
暗号資産が危ない、
個人情報が漏れる、
くらいで考える。

でも本質はそこではない。

本当に終わるのは、
「いまの資本主義の前提」
そのものだと思っている。

資本主義は、金があるから回っているのではない。
信用があるから回っている。

そしてその信用は、現代ではほとんどが
「情報として記述された信用」
に依存している。

残高
契約
株主名簿
登記
本人確認
会計帳簿
監査ログ
決済履歴
サプライチェーン情報
権限管理

これらが正しい、という前提で
経済は動いている。

逆に言えば、
これらの真正性が失われた瞬間、
経済は「損をする」のではなく
「計算できなくなる」。

ここが重要。

資本主義は損失には耐えられる。
不況にも暴落にも破綻にも耐えてきた。

でも、
何が本物かわからない状態
には耐えられない。

たとえば銀行で本当に恐ろしいのは、
預金が盗まれることだけではない。

その送金指示は本物か。
承認したのは本人か。
監査ログは正しいか。
バックアップは無傷か。
残高は真正か。
復旧後の状態を誰が正と定義するのか。

これが全部怪しくなったら、
銀行は営業できない。

市場も同じ。

株価は、何の価格なのか。
その株式の所有権は本当にその人のものか。
企業の財務は正しいのか。
受注残は本物か。
監査法人の確認結果は信じられるのか。

全部が揺らぐ。

すると価格形成が壊れる。
価格形成が壊れると、投資が止まる。
投資が止まると、将来価値を現在に変換する仕組みが死ぬ。

それは、資本主義の中枢停止に近い。

つまり、終わるのは単に金融ではない。
終わるのは、

「遠くの他人を、記録だけで信用できる社会」

だと思う。

近代経済の偉大さは、
知らない相手とも取引できることだった。

会ったことのない銀行に預金できる。
行ったことのない国の会社の株を買える。
顔を知らない相手に送金できる。
オンラインだけで契約できる。

これは全部、
制度化された信用
があったから成り立っている。

でも100%侵入されるなら、
その制度化された信用は維持できない。

そうなると経済はどうなるか。

たぶん、
局所化する。
物理化する。
高摩擦になる。
遅くなる。

つまり、

グローバル
匿名
高速
自動
無人
API接続前提

の経済から、

対面
現物
閉域
多重承認
地域共同体
物理的制御権

の経済へ戻っていく。

ここでよくある誤解がある。

「じゃあ資本主義は完全に終わって原始時代に戻るのか？」

そこまではいかない。

ただ、
いまのような
“情報の真正性を安く広く前提化できる経済”
は終わる。

生き残るのは、
侵入を防げる仕組みではなく、
侵入される前提で成立する仕組み。

ここを間違えるといけない。

防御可能性を前提にした経済から、
侵入可能性を織り込んだ経済へ移る。

たとえば価値が上がるものは何か。

土地。
電力。
食料。
水。
物流拠点。
閉域ネットワーク。
オフラインで確認できる権利。
対面でしか成立しない信用。
複数人立会い。
アナログ台帳。
地域共同体の評判。
実力で秩序を維持する能力。

冷たい言い方をすると、
コードより先に
「人間にルールを飲ませる力」
を持つものが強くなる。

国家
共同体
宗教
地場ネットワーク
物理インフラ保有者
そういうものの価値が相対的に上がる。

なぜなら、最後に効くのは
パスワードではなく、
現実の拘束力だから。

哲学的に言えば、
近代は
「記号が現実を代理できる」
という信念の上にあった。

通帳の数字が金を表す。
電子署名が意思を表す。
IDが本人を表す。
台帳が所有を表す。

でも100%ハック可能世界では、
この代理関係が壊れる。

つまり、

記号が現実を代表できなくなる。

だから人間は、
記号から現物へ戻る。
デジタルから物理へ戻る。
匿名市場から共同体へ戻る。

これは金融危機ではなく、
文明の位相転換に近い。

だから自分は、
「AIが100%成功するハッキング」を
単なるセキュリティ問題だとは思っていない。

これは
資本主義のバグを突く出来事
だと思っている。

もっと言うと、
現代資本主義は
“防御できるはずだ”
という楽観の上に積まれている。

でももし、
防御が原理的に成立しないなら、
社会は設計思想から全部変えないといけない。

そのとき必要なのは、
守る会社ではない。

侵入前提で
社会、企業、金融、共同体を
再設計できる会社。

これから価値を持つのは、
「安全です」と言う会社ではなく、
「破られる前提でも回る構造を作れます」と言える会社だと思う。

たぶん次の時代の本当のテーマは、
セキュリティではない。

レジリエンスですら少し弱い。

もっと正確に言うなら、

“侵入された後も、
価値・秩序・信用を維持できる構造”

それをどう作るか。

ここに尽きる。

要するに、
AIによる100%成功するハッキングが本当に来るなら、
終わるのはアカウントではない。
アプリでもない。
銀行だけでもない。

終わるのは、

「真正な情報があることを前提に成立する、今の資本主義」

だと思う。

そしてそのあと始まるのは、
侵入前提の経済、
物理性を取り戻した信用、
局所共同体と実体資産の再評価、
そして“攻撃できない構造”を持つ者が勝つ時代。

たぶん、次の資本主義は
もっと重く、遅く、狭く、強い。

でもその方が本質に近いのかもしれない。

[DAIV @DAIV_feed]

@YahooNewsTopics えええーー
限りなくブルーな気持ちです

[DAIV @DAIV_feed]

@timeis12am @oinu_koinu_13 ほんとそれ！
インプ狙いの創作ばっか、、、

[DAIV @DAIV_feed]

@ikuyasuusui YouTubeご覧ください

[DAIV @DAIV_feed]

恥ずかしい、、、

[Ikuyasu Usui @ikuyasuusui]

この投稿がズレていることに気づかないない方は一般人だけでしょうか？なぜか（自称？）エンジニアの不思議な投稿が見受けられます。

そもそもセキュリティパッチを貼るということは通常業務です。バージョンには：major.minor.patchが「ドット」で分かれていて例えばPHP8.5.12の「１２」が最新のパッチでありダウンロードして起動すればいいだけのアップデートです。majorとminorのアップデートでない限り特別な支給や、上司の許可などいらないはずです。

総理大臣の投稿はこれを明日の朝出勤した時ではなく今夜やってねということだけです。PHP7（PHP8.1以前）を使っている場合はずっと脆弱性が続きますし、PHP７をまだ使っている企業、ユーザーは沢山いらっしゃると思います。そういった場合はもちろんPHP８に以降しないといけないですが、それは無視なんですよね。

それなのに高市総理がいかにサイバーセキュリティに詳しいのかとこの投稿を参考にしている投稿が見受けられます。彼らが本当にエンジニアなのならそういう見解にならないと思いますが。

[YONEUCHI, Takashi | GMO Flatt Security @lmt_swallow]

【PHP脆弱性対応の「後」にむけて】

みなさん、昨晩からのPHP対応お疲れ様です。一晩中連絡鳴り止んでおらず、一部の個別メッセージに返せてなくて申し訳ないです。

一括して、今、世の中の CTOs/CISOs に届いてほしいことを４つ書き残しておきます↓

（まとまりない部分もあるのですが、投稿しないよりマシかなと、このまま投げちゃいます）

Point 1: これからは、ソフトウェア業界全体で、高負荷の続くタイミングになります。意図してセキュリティに時間をあて、チームが「休息」が取れる体制を。
・我々は脆弱性リサーチに数年間継続的に取り組んできてました。だからこそ感じますが、ここ一年（体感では GPT-5.6 Sol 以後）が、最も「本当に？」みたいな脆弱性が掘り出されていく一年になると思います。こんなのまだあったの？という驚きとともに。
・特に複雑なメモリバグの類（memory safe でない言語製のものを中心に）、あるいは認可バグの類が中心になると思われます。
・少なくともここから年末までは、このクラスの脆弱性がまだまだ出てくると考えておく必要があります。（僕が読み外しているかもしれませんが、恐らく高い確度でこうなります。直近のPHP脆弱性すら、いま世界中の研究者が Variant Analysis をしていて、多分まだ出てくるでしょう）
・このご時世では、新規機能の開発に割く時間を明確に落とすしかありません。あくまで経営者である CTO には取りにくい判断なのは重々承知です（僕もそうなので）。
・「対応AIで」と思うかも知れません。これは技術的には正しいです。ただ、組織的には正しくないです。確実になんとかならず、組織は疲弊していきます。
・なんせセキュリティ対応は大抵自分にタイミングが御せないからです。深夜の対応、急な対応、計画の変更、デグレへの不安、脆弱性情報過多（そもそも自社に影響があるかも分からないものが大半なのに）… と、ストレスの強度がぐんぐん高まっていきます。昨日〜今朝のPHP対応のようなものが、毎週あれば、チームは比較的簡単に壊れてしまうでしょう。
・敢えてリーダーが、セキュリティへの、時間・お金（・トークン）にアロケしてください。これは経営者にしか取れない択で、かついま技術経営者に求められることです。

Point 2: 「必要なら予防的にサービス停止」の覚悟を決め、予めできる調整を重ねたい。止められない場合は、仮想パッチ・監視へのリソースアロケを。
・前提、今回のPHPの件のような脆弱性の対応では、「顧客の保護のためならサービスを止めざるを得ない場面」が訪れます。今回も様々なビジネスがそれに直面しました。今後も訪れるでしょう。
・今回の経験を旨に、本当に止めてはならないのか、止めらるのか、止めうる期待値調整がお客様と出来ているか、を徹底的に見直しておきましょう。
・直近の流れをうけての、お客様への事前連絡（スタンス表明）も有効だと思います。（弊社 GMO Flatt Security 製品についても、これからそれをし、リリースノートとして掲示予定です。我々のサービスの侵害、特に Takumi Guard の侵害は、ソフトウェサプライチェーンの最悪な侵害につながるからです。）
・勿論、止めてはならないビジネスも様々存在します。ビジネスドメインに由来する規制/制約（特に金融・医療セグメント）もあれば、顧客とのSLAもあるでしょう。ただし、現代においては、それらに反するリスクと、セキュリティ被害にあうリスクを天秤にかける必要がでてきています。少し前まではサービス停止でのデメリットは容易に考えられても、セキュリティ侵害など考えにくい、という時代でしたが、今はそうではありません。この天秤を再考する必要があります。（なお、「もう何がなんでも止めてはならない」ビジネスは、相当に限定的だと思います。）
・どうしても止めてはならない（もう何がなんでも止めてはならないもの。限定的であれ存在。人命に関わるもの中心）という場合、厳しい戦いになりますが、WAFレイヤなどで緩和策を施しては祈り、監視する、という流れになります。必要なコンポーネント（WAFなど）と運用リソースがあるならば、苦しい時代ですが、休息うまく取りながらやっていきましょう。なければ、これもしんどいですが、整えましょう。

Point 3: もし平時があれば、システムのモダナイズ（Rebuild and Retire）を検討されたい。
・もし自社での緊急対応が落ち着いているならば、レガシーコンポーネント（数年塩漬けのシステム）、誰がメンテできるのか分からないオーパーツ的存在から順に、作り直し（Rebuild）と旧システムの廃止（Retire）を試みてください。新規開発の代わりに、ここにリソースを充てることが CTO/CISO の仕事です。（他の誰もそれを決められないので。）これは追々自分たちを助けてくれる（ついでにAI-native 開発に移行できて改善しやすくなる）とも思料。
・どのシステムからモダナイズしていくかですが：「XXXで書かれているとまずい」というのは燃えるし言いにくいものの、memory unsafe な言語、type safety があまり確保されていない言語の実装は、モダナイズを検討すべきでしょう。（僕はPHP好きですが、C/C++ で書かれた php-src は、やはりメモリバグ類に対して見通しに限界がありますね。好きなんですが…）
・また経験上、開発当時に DevOps プラクティスすら整っていなかった時代のソフトウェアも、モダナイズを検討したほうがよいです。「セキュリティ診断」をしても、取り返しのつかない量の脆弱性が出てきて、作り直したほうが早い、となる傾向にあります。（弊社でも診断/ペネトレしてますが、こうなると、どうしようもありません。）
・ただし Rebuild には、強いソフトウェア開発力が必要で、AI-native なスタイルに移行することは必須です。この意味で CTO の力がいります。かつ、どこからレガシーの追い出しをするか、どうレキュリティ的なレジリエンスを確保するかは、CISO 的な感性が求められます。既製品（とくに SaaS）を買って処理したほうがいいな、というような判断には CIO 的センスが求められます。総力戦だと思ってください。

Point 4: CTO/CISO の総力戦を。
・Point 3でも述べた通り、直近のくだりには、CTO/CISO の総力戦が必要です。ボードがセキュリティに向かって一致団結する必要があります。
・結構これらロールの間にサイロがあるケースがありますが、そんなことを言っている場合ではありません。
・団結を！

[DAIV @DAIV_feed]

そもそもの話、世の中みんなインフラエンジニア舐めすぎなんだよ！

AIで対応してみろよ

[DAIV @DAIV_feed]

@shota201907 立法府もね

[DAIV @DAIV_feed]

@mattn_jp 世の中みんなインフラエンジニア舐めすぎです！

[DAIV @DAIV_feed]

@forge_tsujimoto 世の中みんな
インフラエンジニアを舐めすぎです

[DAIV @DAIV_feed]

@cpaishiwari 酷い内容ですね、、、

[DAIV @DAIV_feed]

資本金1億以下の法人
同族企業
は会社法適用すべきじゃ無い

[DAIV @DAIV_feed]

監査法人や社外取締役の報酬は
直接企業こら支払うのではなく

上場企業は売上利益規模により
決まった額を東証に支払う
東証にプールされたものから支払う

解任と選任も
企業が直接は出来ない制度にすれば

監査監督の実効性が劇的に上る

[どっかのエンジニア @dokkanoenjinya]

社長「PHPというのが危ないらしいがうちは何を使っているんだ！？」
社員「AWSですっ！」
社長「よしっ！」

[DAIV @DAIV_feed]

妻と44年を共にし、先に見送った。
レソト・マセルの最も裕福な層の家庭に男の子として生まれた。
研究員として13年働いた人生だった。
引退したあと、69歳のとき下痢症で世を去った。
あなたの一度きりの人生は、どこで始まるだろう？ #80億分の1 https://t.co/Y6BBV5AFfY

[DAIV @DAIV_feed]

@shotarotanaka JSOXなんて何の役にも立ちません

[DAIV @DAIV_feed]

@buddica_ まあ、お察し下さいよ、、、

＞車検どうやって通した？

[DAIV @DAIV_feed]

@hss1vs リスク取りすぎでしたね、、、
まだ若いのだから
これから余裕ですよ

[DAIV @DAIV_feed]

同意！
前澤さんは何か胡散臭い

[山田 @u2yamada]

イーロン・マスク凄いね。前澤さんと違ってなぜか胡散臭さがないぜ。