ニュースの概要
電子書籍ストア「ブックライブ」が、セキュリティ対策を強めた影響で、一部の利用者がサイトに入りにくくなったり、作品ページがうまく表示されなかったりしていると告知した。運営は対策を続けているが、影響がなくなる時期はまだ示していない。コミックシーモアやRenta!でもサービス停止が続いた時期と重なったため、利用者の間では同じ種類の攻撃や、その予防措置ではないかという見方が広がっている。ただし運営側は攻撃を受けたとは明言しておらず、原因はあくまで防御の強化に伴う副作用として説明されている。
引用元: ブックライブ、一部利用者に表示不具合 セキュリティ対策強化が影響（Sponichi Annex via Infoseek）
分析・見解
攻撃を受けた被害ではなく、守りが生んだ不具合
まず押さえたいのは、今回の不具合が「サイトが破られた」話ではない点である。運営の説明は、守りを固めた結果として一部の利用者に影響が出た、というものだ。つまり原因は外からの攻撃そのものではなく、防御側の設定にある。
この区別は大切である。情報が漏れた事故と、入口の検問が厳しすぎて正規の客まで止まる事故とでは、利用者が取るべき行動も、事業者が負う責任も違う。
検問を厳しくすると、普通の読者も巻き込まれる
電子書籍サイトは、外部から大量に押し寄せるアクセスを見分ける仕組みを常に動かしている。典型は、正規のアカウントを狙って機械的にパスワードを試す攻撃や、作品の画像を自動で抜き取る行為だ。これらを止めるには、怪しい動きをした接続を弾く検問を強くするしかない。
ところが検問は完全には当たらない。会社のネットワークや携帯回線、VPN（＝通信を中継する仕組み）を使う人は、多数の利用者が同じ住所から出入りしているように見える。そのため機械と間違われやすい。今回の「一部の利用者だけ」という症状は、この誤判定の典型と読める。
同業の停止が続く中で、疑心暗鬼が広がる構図
コミックシーモアやRenta!の停止が先にあったため、ブックライブの不具合は「次は自分たちか」という空気の中で受け止められた。本来は別々の出来事でも、時期が重なると利用者は一つの攻撃として結びつけて考える。
ここに情報の空白が加わる。復旧の見通しが示されないほど、憶測は強まる。電子書籍は決済情報と購入履歴という二つの重い個人情報を預かるため、利用者の不安は他の通販より大きくなりやすい。
守りの強化は今後も続き、見せ方の勝負になる
攻撃側は自動化と低コスト化が進み、業界全体で防御を厚くする流れは止まらない。したがって今回のような副作用は、今後も別の店で起こり得る。
差がつくのは、起きたあとの見せ方だ。症状、対象となる利用者、当面の回避策、次の更新予定時刻を早く出す店は、不具合の最中でも信頼を保てる。逆に、時期未定とだけ伝えて沈黙すると、実害以上に不信が残る。
ビジネスへの影響
守りの設定は、止める数と通す数の両方で測る
自社でサイトやアプリを運営する場合、遮断した攻撃の件数だけを成果にしてはいけない。正規の利用者を何人誤って止めたかも、同じ重さで記録する必要がある。たとえば、新しい防御を入れる前に、問い合わせ件数の増減と購入完了率を比べる基準を決めておくと、副作用に早く気づける。
あわせて、いきなり全員に適用せず、一部の接続から段階的に広げる方法が有効である。止める前に警告を出すだけの期間を置けば、誤判定の傾向を先につかめる。
障害時の告知は、原因より先に利用者の次の一手を示す
不具合の告知では、原因の説明に力が入りがちである。しかし利用者が最初に知りたいのは、自分は何をすればよいかだ。別の回線で試す、アプリから開く、購入履歴は無事であるといった具体策を冒頭に置くと、問い合わせの集中を和らげられる。
加えて、更新時刻を決めて知らせることが重要になる。「分かり次第」ではなく「午後三時に再度報告する」と書くだけで、憶測の拡散をかなり抑えられる。
同業の事故を、自社の点検日にする
他社の停止報道が続くときは、自社の点検を前倒しする好機だ。ログイン失敗の急増、同じ住所からの大量アクセス、パスワードの使い回しを狙った試行を、今週中に洗い出したい。利用者には二段階認証の案内を出し、決済情報の再入力を促すような不審な連絡には注意するよう周知しておくと、万一の際の被害を小さくできる。