ソニー記者会見まとめ　不法アクセスによる情報流出問題の記者会見のまとめてみました

まず平井社長は「ユーザーの皆様に多大なるご迷惑をおかけしたことをお詫びいたします。」と謝罪しました。


米国時間4月19日（日本時間20日）にサーバーに異常な動きが確認され、調査を開始。
米国時間4月20日（日本時間21日）に、社内調査の中で17日から19日にかけて不正アクセスがあったことが判明し、サーバーを停止。システムの確認作業を実施したそうです。


漏えいしたとみられる個人情報は、
　● 氏名
　● 国と住所
　● e-mailアドレス
　● 誕生日
　● 性別
　● PlayStationNetwork/Qriocityのログインパスワード
　● オンラインID
とのこと。
証拠はないが漏えいの可能性がある個人情報は、
　● 過去の買い物履歴と請求先住所を含むプロフィールデータ
　● PlayStationNetwork/Qriocityのログインパスワード紹介時の質問
　● クレジットカード番号（セキュリティコードを除く）と有効期限
となっています。


CIOの長谷島氏より「アプリケーションの脆弱性をつかれたことによって発生した」とコメント。
漏えいした有効なクレジットカードは1000万あるそうです。


今後の対策として、
　● システムをよりセキュリティレベルの高いデータセンターへ移管する計画を前倒しで実施
　● 新たな不正アクセスに対するソフトウェアの自動的なプロセス監視機能
　● データ保護と暗号化レベルの強化
　● ネットワークへの不明なソフトウェアの侵入、不正アクセス、不信行為の検知能力の向上
　● 新たなファイアーウォールの増設
を挙げています。


また、安全管理の対策として、
　● CISOを新設し、ソニーのCIOに直接得レポートを送り、管理体制を強化する
　● PS3のファームウェアをバージョンアップし、パスワード変更案内を実施
することを発表しました。


ユーザーへの対応として、
　● アカウントの情報を定期的に確認してください
　● ネット上の他のサービスでPSNと同じIDやパスワードを使っていたら変更してください
　● SCEから個人情報をメール等で聞くことはないので、そういう手口に注意してください。
と案内。


地域ごとの対策として、
　● クレジットカードの再発行をサポート
　● 海外では本人認証のプロテクションサービスなどの無料サポート
を挙げています。


既存ユーザーへはお詫びと感謝の意味を込めて、
　● 特定コンテンツの無料ダウンロード
　● PSPlusの30日間無料加入＆30日間無料提供
の2点が行われるみたいです。


サービスの再開スケジュールとして、
　● オンライン対戦、PSNへログインが必要とするタイトルのプレイ
　● PSNのビデオ配信サービスでダウンロード済みの映像コンテンツの再生
　● PS HOME
　● チャット機能
が、1週間以内を目処に順次再開されていくことが発表されました。


全面再開に関しては、5月中を目指すとのことで、まだ1ヶ月ぐらいかかるみたいです。


今後の経営方針に関して、平井社長は、「安心で安全なるネットワークを構築するために、違法な搾取行為に対しては毅然とした行為で対応する」とコメント。
また、「世界中の皆様に愛されているPSNで個人情報が漏えいした可能性があるということで、わたしたちが最も大切にするべきお客様に多大なるご迷惑をかけしたこと、ネットワークを停止してしまったことをお詫びします。」と着座したまた謝罪しました。

記者会見の内容は以上です。
以下は記者さんとの質疑応答になります。
媒体名と質問者の名前を言っての質問でしたが、質問者の方のブログが炎上しているなどの噂がありますので、迷惑がかかることを考慮し、媒体名や質問者は掲載していません。

また、読みやすくするために一部改編、口調の修正などを行っています。

---

--クレジットカードの情報漏えいは最大で1000万件なのでしょうか？また、本当に1週間で再開できるのでしょうか。さらに、海外から質問状が届いている中で再開することは可能なのでしょうか。また、業績への影響はあるのでしょうか。

平井氏：
クレジットカードの登録数は約1000万件。クレジットカードの情報が漏えいした確固たる証拠はありませんが、漏えいしていないという宣言もできない状況でのご案内になります。
クレジットカードの不正使用に関しては、現段階で私の元には届いていません。
アメリカの会員から私の元に質問状をもらっていますが、書面は届いていないので、ネット上でコピーを取りました。質問に関しては、真摯に対応して回答します。
また、実際にサービスの開始にあたって各国・各地域において、様々な調整等が必要な場合は、各地域の条件を順守しながら再開していきたい。1週間以内を目処に再開していきたい。
業績への影響に関しては、個人情報保護のプログラムやクレジットカードの再発行などに対する手数料、様々なサービスの展開、ネットワーク停止中の売上等の様々な要素に関して、現段階でどれぐらい影響があるかは精査できていない状況です。影響がわかりしだい、改めてご案内します。

神戸氏：
実際にクレジットカードの情報が漏えいしたかどうかはわかりませんが、関連する被害が生じたという事も全く来ていないので、損害額の鑑定は現時点では難しいです。

--4月20日に異常発生のレポートが報告された時、どういう内容のレポートが報告されたのでしょうか。また、その時点で初動対策をきちんと行っていれば回避できた可能性はあるのでしょうか。

長谷島氏：
4月20日・・・4月19日のの段階では不正アクセスの可能性があるという状況でした。
詳細な検討を加えていく中で、かなり巧妙な、高度な技術で侵入されたことが分かってきました。
今の段階でも特定の情報が漏えいしたかがまだ判断しきれていない状況です。

--クレジットカードの情報が漏えいした可能性がないとのことですが、漏えいした個人情報に関しては、どういう理由で漏えいしたのでしょうか。人数で言うとどれぐらいですか？
また、捜査当局（FBI）とおっしゃっていますが、被害届を提出しているのか、告訴状を提出しているのか、正式な刑事手続きをとっているのか、適用の法令はどうなってるのか、アメリカ以外でもあるのかどうかを教えてください。

平井氏：
漏えいした可能性がある個人情報に関しては、実際には可能性であって確実にどのデータがどれぐらいの量、漏えいしたかは現在調査中で、断定できるところまではいっていません。
逆に一番大きい数からいうと、だいたい7700万〜7800万ぐらい。四捨五入すると7800万の漏えいした可能性があります。
ただし、同じユーザーが複数アカウントを作成している可能性もあるので、何人といわれると人数は減ると思います。データ上として7800万です。
捜査に関しては基本的にSNIEはアメリカに本社があるのでFBIに状況を説明し、捜査の依頼をお願いしている状況です。
それ以上の状況に関しては、捜査継続中なのでコメントを差し控えさせていただきたいです。
その他の国に関しては、現段階では認識していません。様々な国・地域などの捜査当局から問い合わせ・連絡はいただいているので、個別にひとつずつ対処していきます。

長谷島氏：
クレジットカードの情報が漏えいした可能性が低いと考えているのは、暗号化されていること。データベースのその項目を読みに行ったという形跡がないこと。
この2点を根拠として、防衛の可能性について考えています。

--アプリケーションサーバーの脆弱性を攻撃されたとのことだが、既知の脆弱性なのでしょうか。それとも新しい脆弱性なのでしょうか。どういうシステムだったのでしょうか。

長谷島氏：
今回の脆弱性は既知の脆弱性です。世の中では知られていた脆弱性でしたが、SNEIの担当者は認識していませんでした。
今後はCSIOを用意して、常に情報を仕入れていきます。
システムに関しては、またそこを狙われるという可能性があるので控えさせてください。

--PS3のアップデートに関しては脆弱性が残ってる状況でのアップデートになるのでしょうか。

平井氏：
PS3のアップデートは様々な内容のものがありますが、ユーザーに一番わかりやすいのはネットワークに接続するとパスワードの変更をお願いするフローを表示させるのがメインです。
実際にサービスを開始する前にはデータセンターの移設や不正アクセスに対する対策を強化し、安全性を確認した上で再開させていただく予定です。

--迷惑かけたユーザーに対して、PSPlusやコンテンツの無料提供以外に具体的な保証は考えていますか？

平井氏：
クレジットカード再発行の手数料があります。
地域によってはユーザーの皆様の個人情報に関する不正使用の保険適用地域もありますので、そういった地域では無償で提供していきます。
手数料に関しては個別に検討して、一番いい方法をユーザーに提供していきます。
クレジットカードの不正使用の報告は上がっていませんが、個人情報の保護ということに対して、地域別に展開していきます。

--情報の公開についてもっと早くできた可能性はないのでしょうか。情報開示について問題があったと認識しているのでしょうか。

平井氏：
時系列で説明させていただきましたが、不正侵入があった時点で、最初の対応として、不正アクセスに基づいて被害が広がらないようにPSNなどのサービスを停止しました。
PSNのシステムは大きいので、調査を依頼した3社の解析・調査を共同に行って、不正アクセス時のスナップショットを撮影。それを解析し、お客様に対してどういった情報漏えいの可能性があるのか、精度が高まったところでいち早く案内させていただきました。
先ほど、システムを停止したという表現にしましたが、正確にはシステムを段階に停止するという行動で、様々な段階で想定よりも時間がかかった部分があります。
膨大なデータを調査・解析するのに時間がかかってしまったことに対して、お客様にご迷惑をかけてしまったことは否めませんが、なるべく精度の高い情報を提供したかったと理解していただければと思います。

--先日発表された、ソニータブレット発表時では発覚していなかったのでしょうか。

平井氏：
不正アクセスがあったことは認識していました。
また、情報の解析が始まったという認識はありましたが、ユーザーの皆様に対して精度の高い情報を提供できる段階ではありませんでした。
なるべく精度の高い情報を出せる状況になったのが発表の翌日でした。

--ソニーとして、今回の不正アクセスの理由はどう考えているのでしょうか。金銭やハッカーとのトラブルの可能性が噂されていますが。

平井氏：
ここ1、2カ月、外部からの様々な攻撃がソニーのシステムに行われてましたが、直接の因果関係があったとは現段階では断定できておりません。
攻撃の目的に関しては、推測はありますが、実際問題、どういう目的でシステムに侵入して、不正行為を行ったのかなどに関してはまだ残念ながらお話しできる段階ではありません。

--パスワードが漏れた可能性が高いと発表されているが、なぜでしょうか。
暗号化が常識だと思うのですが、アプリケーションの脆弱性を突かれたのであれば、暗号性の意味がないのではないでしょうか。
もしそうなのであれば、クレジットカードの暗号性も意味がないものになるのではないでしょうか。

平井氏：
パスワードやクレジットカード以外の情報に関しては、データベースに至るまでは様々なセキュリティの対策が講じられていたのは言うまでもないが、実際にパスワードが暗号化されていたのかに関しては、暗号化されていませんでした。
クレジットカードのデータに関しては別の場所に保存されており、暗号化されています。

長谷島氏：
暗号化はされていませんが、ハッシュ化はされています。

--最後の記者発表でネットワークを強化するという話がありましたが、今後の話として、Qriocityの全世界展開やソニータブレットの戦略など、いろいろの予定はあると思いますが、今回の問題で影響は出るのでしょうか。また、ネットワークのダメージをどのように認識しているのでしょうか。

平井氏：
Qriocityのワールドワイド展開、PSNの展開、ソニータブレット、NGPに関しては、ネットワークがユーザーエクスペリエンスに密着しているサービスであり商品です。
今回の件で、これから時間をかけて対応する部分もありますし、対処する部分もありますが、まずはユーザーの皆様にソニーのネットワーク、商品に対する信頼を勝ち取るべく、全社一丸となって頑張っていきます。

--ソニータブレットやNGPは、発表時での発売時期から変更はありますか？

平井氏：
変更はありません。

--今回の件で仮にサービスを解約してほしい、記録されている情報を抹消してほしいというニーズが発生した場合どういう対応を取るのでしょうか。
また、パスワードの再設定に関して、パスワードをそのまま設定し直したり、変更してもすぐに元のパスワードに戻すという可能性も考えられれますが、それを考慮したシステムになっているのでしょうか。

平井氏：
残念ながらPSNを解約したいということになりましたら、地域ごとにシステムがあありますので真摯に対応します。
パスワードに関しては、ご指摘いただいた心配がありますので、WEBをはじめとする様々な媒体を利用して、他のオンラインサービスに同じパスワードを使わないなど、個人情報を保護する上で安全対策をとれるように考えています。

--決算への影響や大規模なネットワークをもっている会社として、経営のリスクをどう考えていたのでしょうか。
また、ゲーム機の海賊版対策やハッキング対策などのリスクを背負っていると思いますが、今後、ハッカーやクラッカーに対してどのような姿勢で臨んでいくのでしょうか。

平井氏：
プレイステーションを中心にお話ししますが、プレイステーションのシステムは様々なソフトウェア、コンテンツをファースパーティだけでなく、サードパーティの皆様にいろいろなソフトを発売していただいています。
その中でプラットフォームホルダーとして、ITや著作権を保護できる安全なプラットフォームを提供させていただきます。結果、ユーザーの皆様に喜んでいただけるシステムを構築しています。
コンテンツクリエイターのビジネスや想像力、システムが崩れてしまうようなハッキング行為や海賊版、改造行為などに関しては健全な部分を崩していくことになるので、断固とした姿勢をもって挑んでいきます。
ただ、この問題はソニーだけではなく、様々な企業のネットワーク戦略やビジネス、オンライン戦略の中で、今回のような不正アクセス、障害など、様々なリスクがあるのは一般的な知識だとは思いますが、ソニーはPS2時代からネットワークサービスを提供する中で様々な基準を設けており、情報を保護するということに対して、かなり前からスタートしています。
今回の件もあるので、どこに不備があったのか、もっと早くお客様に迅速に情報がだせなかったのかなどを精査していきます。

神戸氏：
この数ヶ月間の間に「アノニマス」と名乗るグループから世界中のソニーのネットワークに対して、繰り返し攻撃があったというのは事実です。
そういう中でCIOの長谷島を中心に最大の防御ひいて、できるだけのディフェンスをやってきたのは事実です。
今回の攻撃を誰が行ったのかはわかりませんが、ソフトウェアの脆弱性を突かれてハッキングを行われました。
ソニー全体として、ネットワークビジネスを根幹としていく中で、今回の問題はソニーだけで解決するのは難しい可能性もありますので、ソニーだけでなく関係するグループや業界、司法当局と相談して、お客様が安全でネットワーク環境を楽しんでいただく為に真剣に取り組んでいきます。

--情報開示のスピードについて、海外のPSブログなどでは日本より情報が早く具体的でしたが、これはなぜでしょうか。
また、PS3のルートキーがクラッキングされたという情報がありますが、クラッキングされたことに対する対処はとっているのでしょうか。

平井氏：
アメリカやヨーロッパではブログを展開しているが、SCEJでは展開していません。
他のWEB上では告知していますが、今後、一般ユーザーとのコミュニケーションツールとして、日本でもブログを展開するということをSCEJで検討しています。
ただ、メッセージのタイミングや内容に関しては、海外と差がないと認識しています。
ネット上に様々な情報が流出してしまっている可能性がありますが、我々のビジネスのベーシックな部分、ITを保護することに対して、脆弱性を作ってしまう行為があるのであれば、様々な方法をもって対処していきます。

--今回のお詫びとして、30日の無料体験やクレジットカード再発行の支援とありますが、ユーザーに対して、金銭的な補償は考えているのでしょうか。

平井氏：
個人情報の保護、サービスの提供、カードの再発行の手数料など、お客様の情報を保護するという観点からの施策とネットワークサービスの停止による無料期間に関しては分けて考えています。
その中で補償ということについては、現段階ではクレジットカードの情報漏えいがハッキリしていない、かつ、不正使用の実績報告がないので、不正使用があり、被害が発生した事実があった時に個別に対応していきます。

--経営責任についてはどう考えているのでしょうか。

平井氏：
いかにユーザーの皆様にソニーのネットワークコンテンツ、サービス、商品に関して信頼を寄せていただく対処ができるのが重要なポイントだと考えています。
まずは信頼をもう一度いただけるようなソニーにもっていきたいと考えています。

--最大限の防御をしたと言っていますが、脆弱性があったのはなぜなのでしょうか。
管理が行き届かなかった可能性はないのでしょうか。

神戸氏：
長谷島を中心とし、SNEIで運営してきた部分に関して、それなりに対処はしてきたつもりですが、甘かった部分があったのは認めざるをえません。

長谷島氏：
「アノニマス」のサイバーテロに関して、グローバルに防戦をしてきました。
ソニーには情報セキュリティを守っていく体制があり、あらゆる攻撃についてシェアし、対処してきました。
今回、大変残念なことが起こってしまったので、根本的な部分から抜本的に見直し、再発を防止していきたいです。

--解約への対応についてお聞きしたいのですが、すでに解約したなどの対応はあるのでしょうか。

平井氏：
会員に関するシステムについて、約7800万あるアカウントは課金のない無料のシステムであり、会員という形で運営していません。
あえて退会という言葉と使わせていただきますが、PSPlusのユーザーに対して、ウォレットなどの残金をどうするのかなどの対処は個別に対応していきます。
お客様からコールセンターへ頂いた電話は、サービスがいつ再開されるのかという事とクレジットカードに関する質問が多いです。
無料アカウントに関しては、会員というコンセプトではないので、退会とは考えていません。

--ソニーは日本の企業ですが、日本の警察とはどう連携しているのでしょうか。

平井氏：
日本の警察からの問い合わせは、現段階ではありません。

--4月20日に状況を把握したといっていますが、17日から19日のタイミングで把握できなかったのでしょうか。

長谷島氏：
脆弱性が発見されたときに、脆弱性にどうパッチをあてていくか、発見した度に対応していくものではないので、パッチをあてる頻度を上げて再発を防止していくと考えています。
ひとつだけでなく、総合的に力をつけていこうと考えています。

--PS3とPSPは全世界で何台発売されていて、どれぐらいのシェアをもっているのでしょうか。また、その中でネットワークのシェアはどれぐらいなのでしょうか。

平井氏：
プレステの会見ではないので、最新のデータをもっていません。
ただ、PS3でいうと、約3700万台ぐらいがネットワークに接続されていて、PSPでは1600万台接続されていると思いますが、改めてデータを送らせていただきます。
（補足：PSPが6900万販売、PS3が5000万販売、PS3の80%ネットワーク接続とのこと。）

--今回の記者会見で、情報がアップデートされている感じではないのですが、なぜ発表時に記者会見を開かなかったのでしょうか。

平井氏：
27日の段階で、漏えいの可能性のある情報やお客様のIDに関しては判明したのですぐに案内しましたが、時間を頂いて会見する中で、実際問題、再開に向けてどういう形になっているのか、再開した時にユーザーにどうサービスを提供していくのか、個人情報をどう保護していくのかなど、質問がでてくると考えていましたので、様々な会社と協議しながら、ある程度の目処がついたところで総合的な回答が整った段階での運びとなりました。

--アプリケーションサーバーの脆弱性がつかれたとのことですが、なぜ、セキュリティインフラをすりぬけたのでしょうか。

長谷島氏：
先ほど説明しましたが、ファイアーウォールで検知できない正常なトランザクション（トンネル）で入り、正常なトランザクション（トンネル）で出ていきました。
あるコマンドをトリガーに外部から操作するという、従来の仕組みでは防ぐことができませんでした。
今後は再発防止するために、セキュリティシステムを導入していくことを検討しています。

--情報漏えいに関して、ログの取得が不十分だったからではないのでしょうか。

長谷島氏：
今我々が実施していることなので詳細は控えたいのですが、正直なところ、いつまでに解析が終わるのか、特定に向けてデータを保持できているのかは、今後の分析に委ねたいと思います。

--アプリケーションサーバーに対する不正アクセスは過去にも何回かあったのでしょうか。それとも、17日から19日の間だけで発生したのでしょうか。

長谷島氏：
不正アクセスに関しては、過去に経験したことはないレベルです。
我々の分析上は17日から19日の間が最初と考えています。

--過去にルートキーの情報漏えいがあり、不正プレイが発生するなど過去に不正行為が多々ありましたが、根本的な対策を取らずにPS3は安全なハードといえるのでしょうか。

平井氏：
不正プレイや事件が起きているのは認識していますが、PS3本体のセキュリティ、保護レベルを可能な限り上げることや実際に接続しているネットワークのセキュリティレベルを上げることで、ユーザーの皆様になるべく楽しんでいただけて安心して接続していただけることを考えています。
PS3もそうですが、本来想定されていない使い方が出てくる可能性があると思うので、PS3でもなるべく防止できるようにしていきます。

--クレジットカードの個別対応はおっしゃっていましが、過去の例を見ると、個人情報の流出に対して他社は金銭での補償をしていますが、ソニーはどれぐらいの予算、規模を考えているのでしょうか。

平井氏：
クレジットカードの件に関しては、まだ確定していません。不正使用が確定していないので、お客様の基本的な部分をどう保護するかを講じています。仮定の話になりますが、個別に対応していきます。

--PSNの退会はないとおっしゃっていますが、27日の規約だと退会は認めていないと書かれており、28日の規約では退会したい場合は個別に連絡くださいとありますが？

平井氏：
退会については、通常の利用規約に関しては退会のお客様に関しては一定の取り扱いで案内をしていたが、今回の件に関しては、別途検討したいです。
個人情報につきましては、わたしたちの中では漏えいの可能性に関して、お客様に対してご迷惑、心配をおかけしたことを申し訳なく思っております。
実際にそれがもとで被害が出た場合はソニーとして対処します。現段階では被害が発生したとは報告を受けていません。

--「アノニマス」側は「アノニマス」によるものではないと発表していて、今回の記者会見では、「アノニマス」についてという言葉が多数見受けられますが、「アノニマス」との関係についてどう考えているのでしょうか。

平井氏：
今回の不正侵入との関連性はわかりません。
「アノニマス」との関係性については、示唆するものではなく、背景説明として使わせてもらいました。

---

以上で質疑応答も終わりです。

質疑応答の中でもありますが、今回の記者発表で問題部分に関しての新しい情報はありませんでしたが、いつ頃に復旧するかというユーザーにとって一番気になる部分が目処だけでも発表されたのはよかったと思います。

個人的な愚痴を言うのであれば、質疑応答の際に「先ほど説明させてもらいましたが・・・」という言葉を平井氏、長谷島氏、神戸氏が多用していたのが印象的でした。

たとえ、説明したことであったとしても、一つ一つ真摯に対応するのが、今のSCEに求められているような気がしてます。
それが信用回復の第一歩ですしね♪