サイバー攻撃にさらされる東京オリンピック：時限法も視野に

　BTは、オリンピックのウェブ・サイトの提供は別契約で行い、米国のコンテンツ・デリバリー・ネットワーク（CDN）大手のアカマイをパートナーにした。DDoS攻撃はアカマイで吸収し、ウェブの改ざんなどもここで対処し、キャッシュをすべてのコンテンツに対して作ることで、その他の潜在的なリスクに集中することができた。データとコンテンツを分散して持っておけば、一カ所がやられてもすぐに回復することができる。

　BTのオリンピック・チームは400人体制だったが、オリンピックはBTのブランドに関わるプロジェクトであり、実際には3〜4倍の人が関わったと見られている。結果的には、BTはオリンピックを通じてビジネス運用を学ぶことができたと自己評価している。非常に多くの攻撃が仕掛けられたが、成功したものはなかった。

官民連携

　BTだけですべて対処できたわけではない。その裏で官民連携も行われていた。それは、オリンピック後にCERT-UKを構成することになるCSIRT-UKとサイバーセキュリティ・オペレーション・センター（CSOC）を中心に行われた。関係者は情報共有のためのチームを組織し、ロンドン・オリンピック・パラリンピック組織委員会（LOCOG）に報告することにした。チームには内閣府、政府通信本部（GCHQ）、保安局（MI5）、内務省、警察中央電子犯罪ユニット（PCeU）、国防省に加え、通信事業者、ITベンダーなどが参加した。

　競技中は、主として夕方にDDoS攻撃が続いたという。最初は競技関連サイトが狙われていたが、成功しないことが分かるにつれて、法執行機関のサイト、多様な標的へと攻撃対象が移っていった。

　教訓としては、大きなイベントの最中はリスクに対する耐性が低くなるが、過剰反応をしないことが鍵になるという。また、変化する状況に応じて作戦態勢のスケールを上下できるようにしておく必要がある。

魅力的な攻撃対象としてのオリパラ

　オリンピックとパラリンピックは、世界で最も大きいイベントと2番目のイベントだといわれている。サッカーやラグビーのワールドカップもオリンピックには及ばない。したがって、悪者ハッカーたちにとっても魅力的なターゲットである。入場券販売に伴うクレジットカードなどの個人情報が狙われることもあるだろうが、それよりも政治的なデモンストレーション、経済的な被害、心理的なインパクトを狙うサイバー攻撃が企図されるだろう。

　日本にとっては5月の伊勢志摩サミットが大きな試金石になる。そして、今夏のブラジルのリオデジャネイロでのオリンピックも見逃せない。リオデジャネイロでのオリンピックはサイバー攻撃もさることながら、ジカ熱も大きなリスクになっている。物理的なテロ対策も含めて、治安当局にとっては大変な負担になっているはずである。そして、2018年には韓国の平昌で冬のオリンピックが開かれる。韓国は何度も北朝鮮からサイバー攻撃を受けている。北朝鮮選手団の参加状況にもよるが、警戒が必要だろう。

　2016リオデジャネイロ、2018平昌、2020東京と続く三つのオリンピック・パラリンピックは、大規模イベントにおけるサイバーセキュリティを決めることになるだろう。