「情報セキュリティは、最新のIT技術や高度な暗号アルゴリズムで解決できる問題だ」……もしあなたがそう信じているなら、今すぐその考えを捨ててください。コンピュータの歴史が残酷なまでに証明しているのは、数千億円を投じて築き上げた最強の盾を粉々に砕くのは、いつだって「システムを使う人間」だという事実です。
かつて、世界で最も普及していたブラウザが「インターネットを爆破するもの」と揶揄され、マイクロソフトが存亡の危機に立たされた暗黒時代がありました。ビル・ゲイツが巨額の私財を投じて挑んだのは、プログラムの修正ではなく、人間の「意識」という名の巨大な壁でした。
今回は、技術の限界点である「PEBKAC（椅子とキーボードの間の問題）」の正体と、私たちはなぜチョコレート1枚でパスワードを売ってしまうのかという、笑いと絶望のセキュリティ史を紐解きます。これは、テクノロジーがどれだけ進化しても克服できない、「人間」という名の最大の脆弱性をめぐる物語です。
1. 2000年代初頭の暗黒史：インターネットを爆破した「Internet Exploder」
今でこそWindowsやInternet Explorer（IE）は、ビジネスの現場で「枯れた技術」として安定して使われていますが、2000年代初頭はまさに「セキュリティの暗黒時代」でした。2001年に登場したWindows XPの裏側では、「コードレッド」や「ニムダ」といったコンピュータウイルス（ワーム）が爆発的に流行。世界中のPCが、ただネットワークに繋いでいるだけで感染し、勝手に再起動を繰り返したり、データを消去されたりするという惨状が繰り広げられていました。
当時の状況はあまりに酷く、IEはその脆弱性の多さから、エンジニアたちの間でこう呼ばれていました。
「Internet Exploder（インターネット・エクスプローダー）。インターネットを爆破するもの」
もはやブラウザとしての機能を果たす前に、インターネットそのものを破壊する装置。一部の大学や研究機関からは「マイクロソフト製品の使用を禁止する」という声明が出るほど、その信頼はどん底まで落ちていたのです。
これに対し、創業者ビル・ゲイツは歴史的な決断を下します。彼は「セキュリティを全社の第一重要課題とする」と宣言し、約2億ドル（当時のレートで約300億円）という巨額の予算を投じて、全世界の全社員にセキュリティ研修を強制したのです。「セキュアな製品を作ればボーナスを出し、そうでなければ評価を下げる」というインセンティブ設計まで行い、技術以前に「作る人の意識」を根本から変えようとしました。
「結局、マイクロソフトは地味な工夫を大量に積み重ねた。一発で物を解決する万能の解決策がない。銀の弾丸はないが、地道な努力で非対称性を埋めていった。」
この改革は、IT業界における一種の「SDGs」的な大転換点となりました。開発者が「便利さ」よりも「安全」を優先してコードを書くという文化を、2億ドルかけて無理やり植え付けたのです。
2. セキュリティ最強の天敵「PEBKAC」：問題はシステムではなく、あなたの椅子に座っている
マイクロソフトの血の滲むような努力によって、OSやブラウザの穴は劇的に減りました。しかし、防御側が穴を塞げば塞ぐほど、攻撃側はより効率的で「安上がり」な攻撃手法を見つけ出します。それが、エンジニアの間で古くから囁かれる皮肉たっぷりの専門用語、「PEBKAC（ペブカック）」です。
「Problem Exists Between Keyboard And Chair（問題はキーボードと椅子の間に存在する）」
つまり、問題はパソコンの内部構造にあるのではなく、それを使っている「人間」にあるという強烈なメッセージです。どれだけシステムを難攻不落の要塞のように固めても、城壁の主が自ら門を開けて「どうぞお入りください」と招き入れてしまえば、すべての防御は無意味になります。
これを裏付ける、象徴的な調査結果があります。2004年にニューヨーク・タイムズが行った調査では、街ゆく人々にこう尋ねました。「チョコレート1枚あげるから、あなたの会社のパソコンのパスワードを教えてくれませんか？」。
その結果、なんと70%の人が「いいですよ」とあっさり教えてしまったというのです。
これ、現場のシステム担当者が聞いたら泣き出しますよね。数千万円かけて導入した最新のファイアウォールが、100円のチョコレート1枚に敗北した瞬間です。攻撃側は、難解な数学パズル（暗号）を解くのをやめました。代わりに、人間の「お菓子が欲しい」「親切に応えたい」という原始的な欲求や、心理的な隙を突く「ソーシャル・エンジニアリング」にシフトしたのです。
正直なところ、これを読んでいるあなたも他人事ではありません。「自分は大丈夫」と思っている人ほど、親しい同僚からの急ぎのチャットや、精巧に作られた「パスワード再設定」の通知には、驚くほどあっさりと秘密の情報を差し出してしまうものです。
3. 絶望の結論：ジョニーはなぜ暗号化できないのか
「人間は、セキュリティを技術の問題ではなく、自分の利便性の問題として捉える」。この冷酷な事実を突きつけたのが、1999年の伝説的な論文『なぜジョニーは暗号化できないのか（Why Johnny Can’t Encrypt）』です。
この論文で行われた実験は、現代のユーザビリティ設計に対する最大の警告となっています。実験では、11人の被験者に「誰でも簡単に使える」が売りの暗号化ソフト（PGP）を渡しました。そして、90分という十分な猶予を与えて「暗号化したメールを送ってください」と指示したのです。
さて、正しく送れた人は何人いたでしょうか。
「暗号化できていた人、0人だったんですよね」
それどころか、数名は「完璧に送れました！」と自信満々に誤った操作をしていたといいます。暗号化しているつもりが、実際には平文（丸見えの状態）で送っていたり、復号できない形式で送っていたりしたのです。
結局のところ、人間は「安全」よりも「今すぐメールを送る便利さ」を無意識に優先する生き物です。その「面倒くさがり」で「直感的でありたい」という本能を無視した設計は、砂上の楼閣に過ぎません。
実際のところ、現在のセキュリティは「終わりのないイタチごっこ」です。攻撃側が生成AIを使い、あなたの親友の声を真似て「パスワードを教えて」と電話してくる現代において、防御側が常に不利な「非対称性」は解消されていません。ビル・ゲイツの意識改革はゴールではなく、終わりのない徒競走のスタートラインに過ぎなかったのです。
4. 脆弱な私たちに「希望」はあるのか
ここまで読むと、「もう何をしても無駄ではないか」という絶望感に襲われるかもしれません。しかし、この歴史が私たちに教えてくれるのは、「人間を信じすぎない」という新しい設計思想です。
かつては「ユーザーを教育して完璧な人間にする」ことが目標でしたが、今のトレンドは「人間は間違えるもの（PEBKAC）である」という前提に立つことです。二要素認証や生体認証、あるいは「パスワードレス」への移行。これらはすべて、チョコ1枚で誘惑され、ジョニーのように操作を間違える私たちを、システム側でそっと支えるための地道な工夫の積み重ねです。
結局、人間ってやつは……と、ビル・ゲイツの絶望に共感せざるを得ません。しかし、その弱さを受け入れることから、本当の「守り」は始まるのです。
まとめ
この記事をまとめると…
- インターネット・エクスプローダーの衝撃：かつてのWindowsはウイルスまみれの「爆破装置」だったが、ビル・ゲイツは2億ドルを投じた全社員の「意識改革」で信頼を回復させた。
- 最大最強の脆弱性「PEBKAC」：セキュリティ上の最大の問題は、システムの中ではなく「椅子とキーボードの間に座っている人間」にある。
- 利便性がセキュリティを殺す：7割の人がチョコ1枚で情報を漏らし、10割の人が難解なツールでミスをする。「ジョニーは暗号化できない」事実は現代も変わっていない。
- 銀の弾丸（一発解決）はない：セキュリティは高度な技術の競い合いではなく、人間の脆弱さと向き合い、地道な工夫を積み重ねる終わりのない心理戦である。
次にあなたが自分のパスワードを入力するとき、少しだけ思い出してください。その文字列は、チョコ1枚の誘惑に勝てるほど強いでしょうか？そして、システムを作る側の方は、目の前のユーザーが「ジョニー」であることを想定できているでしょうか？
配信元
番組名：ゆるコンピュータ科学ラジオ
タイトル：最大の障壁は「愚かな人間」。セキュリティの発展と停滞と、希望の物語【情報セキュリティ2】#98
配信日：2023-11-12
