第40章 登録済み連絡先

午前七時五十八分。

三枝涼真は、第三会議室に入る前に、スマートフォンを確認した。

県立東駿河医療センターとの相互確認プロトコルは、昨夜のテストで成功している。

重要配送では、ePODだけで完了にしない。配送員到着。現物確認。温度確認。受領部署確認。相互確認番号。登録済み連絡先での照合。

二つの手が、互いに確認する。

それが新しいルールだった。

だが、三枝は、廊下を歩きながら一つの不安を消せなかった。

登録済み連絡先。

その言葉が、ずっと引っかかっていた。

昨日までは、それが防御だった。メールを信じない。声を信じない。受領書を信じない。表示名を信じない。届いた番号に折り返さない。

登録済み連絡先で確認する。

それは、強い。

だが、その登録済み連絡先そのものが変えられたら。

三枝は、足を止めた。

胸の奥が冷える。

彼は第三会議室に駆け込んだ。

黒崎課長は、すでに端末を開いていた。

「三枝、取引先マスタ見てくれ」

「何かありましたか」

黒崎は、画面を共有した。

取引先連絡先マスタ変更申請

申請時刻。

午前七時三十四分。

対象。

県立東駿河医療センター 物流管理課

変更内容。

登録済み確認電話番号を変更。登録済み確認メールを変更。相互確認番号通知先を変更。

申請者。

customer-master-maint

承認状態。

自動承認済み

三枝は、息を止めた。

「自動承認……」

黒崎が、低い声で言った。

「昨夜作った相互確認プロトコルの確認先が、今朝変えられかけていた」

三枝は、画面を拡大した。

旧電話番号。病院代表番号。

新電話番号。見覚えのない番号。

旧メール。病院物流管理課の正式アドレス。

新メール。見た目は似ている。だが、ドメインが一文字違う。

higashi-suruga-med.jpではなく、higashi-suruga-rned.jp

m が rn になっている。

古典的な視覚偽装だった。

山崎行政書士事務所の山崎が、会議室に入ってきた。

三枝は、振り返らずに言った。

「先生。登録済み連絡先が攻撃されています」

山崎は、画面を見た。

すぐにホワイトボードへ向かい、黒いペンで書いた。

登録済み連絡先

その下に、もう一行。

確認先も、確認されなければならない。

三枝は、その文字を見た。

そうだ。

登録済み連絡先は、信頼の土台だ。

だからこそ、攻撃者はそこを狙う。

午前八時五分。

望月社長、秋山法務総務部長、大石倉庫部長、久我真琴が緊急参加した。

秋山は、変更申請画面を見て顔を強張らせた。

「この申請、誰が承認したんですか」

三枝は、承認ログを開いた。

承認者。

auto-approve-customer-master

条件。

取引先からの電子署名付き変更依頼あり変更対象が連絡先のみ過去取引先マスタに同一法人番号あり低リスク変更として自動承認

添付ファイル。

HigashiSuruga_Contact_Update_Request.pdf

三枝は、隔離環境で添付を確認した。

表題。

連絡先変更依頼書

本文。

災害時物流訓練およびインシデント対応連絡体制の見直しに伴い、貴社との重要配送・相互確認に関する登録連絡先を下記のとおり変更します。

県立東駿河医療センター名義。電子署名あり。

署名者。

Higashi Suruga Medical Center Administration Seal

署名は、有効に見える。

三枝は、奥歯を噛んだ。

会社印の次は、取引先の印。

委任状の次は、連絡先変更依頼書。

久我が言った。

「取引先名義の電子署名付き変更依頼を使って、自動承認を通そうとした可能性があります」

山崎が静かに言った。

「ここでも、電子署名は内容の真実と現在の意思を保証しません」

望月が聞いた。

「自動承認は、もう通ってしまったのですか」

黒崎が答えた。

「通っています。ただし、マスタ反映は午前八時三十分のバッチです。まだ本番確認先には反映されていません」

会議室に、ほんの少しだけ安堵が流れた。

三枝は、すぐに操作した。

変更申請を保全。添付PDFを保全。承認ログを保全。自動承認ルールを保全。反映前の本番マスタを保全。

その後、反映バッチを停止。

customer-master-update-batch: Paused

三枝は時系列表に入力した。

08:07　県立東駿河医療センター物流管理課の登録済み確認連絡先について変更申請を確認。申請者customer-master-maint、自動承認済み。変更先電話番号およびメールは不審。添付は同院名義電子署名付き連絡先変更依頼書。マスタ反映は08:30予定で未反映。保全後、反映バッチを一時停止。

保存。

画面右下。

保存しました。

午前八時二十五分。

山崎は、ホワイトボードに三層の確認を書いた。

一　受け取った連絡先変更依頼は本物か二　その依頼を出した人に権限はあるか三　変更後の連絡先を、旧連絡先で確認したか

秋山が頷いた。

「変更後の連絡先を、変更後の連絡先で確認してはいけない」

「はい」

山崎は言った。

「連絡先変更では、旧連絡先が最後の信頼点です。旧連絡先で確認できない場合は、別の登録済み経路、契約書記載住所、代表電話、対面、既存担当者など複数で確認します」

大石が言った。

「配送先の変更でも同じですね。新しい搬入口を新しい連絡先だけで確認しない」

「その通りです」

山崎は続けた。

「登録済み連絡先は、防御ですが、更新時が最も危険です」

三枝は、ノートに書いた。

連絡先は、更新時に攻撃される。

久我が補足した。

「攻撃者は、信頼の根を入れ替えようとしています。連絡先マスタを変えれば、その後の確認は全部攻撃者へ行く」

望月が、静かに言った。

「信頼の根」

山崎は、ホワイトボードに書き足した。

Trust Root：登録済み連絡先

「会社の本人確認は、最終的にどこかの信頼の根に戻ります。連絡先、証明書、署名鍵、管理者、契約書。根が変えられれば、枝葉の確認はすべて揺らぎます」

三枝は、取引先マスタを見た。

そこには、病院、薬局、検査センター、配送協力会社、設備業者、委託先の連絡先が並んでいる。

これは、単なるマスタではない。

会社が誰を信じるかの根だった。

午前八時四十分。

県立東駿河医療センターへ、旧登録済み代表番号で連絡した。

物流管理課長と情報システム担当が出た。

秋山が確認した。

「貴院名義の連絡先変更依頼書を受領しました。災害時物流訓練およびインシデント対応連絡体制の見直しに伴い、登録連絡先を変更するという内容です。貴院から発行されましたか」

病院側は即答した。

「発行していません」

情報システム担当が続けた。

「当院の電子署名付きですか」

三枝が答えた。

「そのように見えます。署名者はHigashi Suruga Medical Center Administration Sealです」

相手側が息を呑む気配があった。

「当院の行政事務用電子印かもしれません。ただ、物流管理課の連絡先変更には使いません」

山崎が言った。

「署名経路の確認をお願いします。電子印そのものが使われたのか、旧テンプレート経路か、外部支援者か。こちらでは、当社側の自動承認を停止しています」

病院側情報システム担当は、すぐに答えた。

「当院側でも調べます。連絡先変更は無効です。現行登録先を維持してください」

三枝は入力した。

08:43　県立東駿河医療センターへ旧登録済み代表番号経由で確認。同院は連絡先変更依頼書発行を否定。Administration Sealは同院電子印の可能性があるが、物流管理課連絡先変更には使用しない旨。同院側でも署名経路確認開始。現行登録先維持を確認。

保存。

山崎は、三枝に言った。

「良いです。旧連絡先で確認できました」

登録済み連絡先は、まだ守られていた。

ただし、攻撃者はその根元に手を伸ばしていた。

午前九時五分。

Blue Heronからメールが届いた。

件名は、Root update。

本文は、短かった。

If the address book changes, every call is ours.

住所録が変われば、すべての電話は我々のものだ。

その下には、取引先マスタ変更申請画面の一部が貼られていた。

三枝は、保全した。

望月は、画面を見て言った。

「これが狙いですね」

久我が頷いた。

「はい。連絡先マスタが変われば、本人確認プロトコルも相互確認プロトコルも攻撃者へ向かいます」

山崎は、ホワイトボードに書いた。

連絡先マスタは、本人確認インフラである。

秋山が頷いた。

「法務総務の取引先台帳だけではなく、セキュリティ資産として扱う必要があります」

黒崎が言った。

「情シスもマスタ変更ログを監視します」

大石が言った。

「配送先マスタも同じです」

三枝は、未了事項台帳に追加した。

U-169　登録済み連絡先・取引先マスタの信頼根管理未整備

責任者。

秋山・営業部長・三枝・大石

期限。

七日以内に緊急ルール、三十日以内に恒久設計

状態。

開始

時系列にも入力する。

09:05　不明差出人より件名“Root update”のメール受信。住所録変更により確認電話を攻撃者へ誘導できる旨を記載。取引先連絡先マスタを本人確認インフラ・信頼の根として統制対象化。

保存。

午前九時三十分。

取引先マスタの変更承認ルールが確認された。

現行ルール。

連絡先のみの変更は低リスク。取引先名義の依頼書があり、法人番号一致があれば自動承認。反映は一日二回のバッチ。変更後通知は、新旧両方に送信。

一見、合理的だった。

しかし、今は危険だった。

山崎が言った。

「連絡先変更は低リスクではありません」

営業部長が頷いた。

「これまでは、住所や振込先に比べれば軽く見ていました」

「今後は違います。本人確認、相互確認、緊急連絡、配送変更、受領確認、情報漏えい通知。すべて連絡先に依存します」

久我が言った。

「特に、インシデント中は連絡先変更を原則凍結してもよいくらいです」

望月が決めた。

「本日から、重要取引先の連絡先変更は自動承認を停止します。旧連絡先での確認、営業責任者、法務総務、情シスの確認を必須にしてください」

三枝は、customer-master-update-batchのルールを変更した。

Auto-approval for contact-only changes: Disabled

新ルール。

重要取引先。医療機関。配送・受領・緊急連絡先。個人情報通知先。災害時連絡先。

すべて手動確認。

確認方法。

旧連絡先。代表電話。登録済み担当者。必要に応じて書面・対面。

三枝は入力した。

09:38　取引先連絡先変更の自動承認を停止。重要取引先・医療機関・配送/受領/緊急/個人情報通知/災害時連絡先の変更は、旧登録連絡先、代表電話、営業責任者、法務総務、情シス確認を必須化。

保存。

午前十時十分。

病院側から、電子印の調査結果が届いた。

Higashi Suruga Medical Center Administration Sealは、確かに病院の電子印だった。ただし、本来は行政書類や院内総務通知用。物流管理課の連絡先変更依頼には使わない。署名経路は、病院側の外部文書作成サービス MedDocSeal。署名要求アカウントは、training-admin-old。用途は、災害時物流訓練資料への電子印付与。契約終了済み外部訓練支援アカウントが関係している可能性。

山崎は、静かに言った。

「病院側も、会社印の亡霊を持っていました」

三枝は入力した。

10:12　県立東駿河医療センター調査。連絡先変更依頼書の電子印は同院Administration Sealの有効署名。ただし物流管理課連絡先変更用途ではなく、MedDocSeal上のtraining-admin-oldが災害時物流訓練資料用署名経路を利用した可能性。病院側で保全後停止。

秋山が言った。

「これも共同訓練終了管理に入りますね」

山崎は頷いた。

「はい。共同訓練で使った電子印テンプレート、文書作成サービス、外部支援アカウントまで終了確認が必要です」

望月は言った。

「病院側にも、当社の委任状・電子印の件を共有します。お互いに同じ型の攻撃を受けています」

山崎が答えた。

「共有しましょう。相互防御です」

午前十時四十五分。

Blue Heronからメールが届いた。

件名は、Their seal too。

本文は、短かった。

Everyone has old seals.Everyone trusts addresses.

誰もが古い印を持っている。誰もが住所録を信じている。

三枝は、保全した。

大石が、低く言った。

「これ、地域の医療機関全部に関係するかもしれないですね」

久我が頷いた。

「はい。共同訓練の電子印・連絡先・テンプレートが他にも残っている可能性があります」

山崎が言った。

「注意喚起を広げましょう。ただし、具体的な攻撃手口を出しすぎないように」

秋山は、主要取引先向け注意喚起文を更新した。

内容は、三つ。

一、登録済み連絡先変更依頼は、旧連絡先で確認すること。二、電子署名付き連絡先変更依頼でも、現行承認経路を確認すること。三、過去の共同訓練で利用した外部支援アカウント・電子印テンプレート・配信サービスを棚卸しすること。

三枝は入力した。

10:45　不明差出人より件名“Their seal too”のメール受信。取引先側電子印・住所録信頼を狙う旨を示唆。主要取引先向けに連絡先変更依頼、電子署名付き書類、共同訓練関連アカウント・テンプレート棚卸しの注意喚起を準備。

保存。

午前十一時三十分。

登録済み連絡先マスタの緊急監査が始まった。

過去三十日の変更申請。取引先名義のPDF添付。電子署名付き依頼書。自動承認。変更先メールドメイン。電話番号変更。相互確認番号通知先。

結果、三件が不審だった。

一つ目。

県立東駿河医療センター。今回の件。

二つ目。

東部検査センター。夜間連絡先メールが一文字違いのドメインに変更申請されていた。反映前で停止。

三つ目。

清水臨床資材センター。配送遅延時の緊急SMS番号が変更されていた。反映済み。ただし、まだ使われていない。

三枝は、三件目で顔を上げた。

「一件、反映済みがあります」

望月が言った。

「すぐ確認してください」

営業部長が、旧登録代表番号で清水臨床資材センターへ連絡した。

結果。

変更依頼は出していない。

三枝は、すぐにマスタをロールバックした。

反映済みの不審番号を保全。変更申請保全。ログ保全。旧番号へ復旧。関係先へ注意喚起。

入力する。

11:38　取引先連絡先マスタ緊急監査で不審変更3件を確認。県立東駿河医療センター、東部検査センターは反映前停止。清水臨床資材センターの緊急SMS番号変更は反映済みだったが、旧登録代表番号確認で同社送信否定。保全後、旧番号へ復旧。

保存。

久我が言った。

「攻撃者は、登録連絡先を複数仕込んでいます。使用前のものもあります」

山崎が頷いた。

「これは、潜伏型の信頼根汚染です」

ホワイトボードに書く。

信頼根汚染

三枝は、その言葉を見て、背筋が冷えた。

攻撃者は、すぐに使うためだけに連絡先を変えるのではない。

将来、確認が必要になった時のために、確認先を汚しておく。

それは、静かな攻撃だった。

午後零時二十分。

Blue Heronからメールが届いた。

件名は、Seeded。

本文は、短い。

Some roots grow later.

いくつかの根は、後から育つ。

三枝は、保全した。

久我が言った。

「やはり、仕込みです」

山崎が頷いた。

「信頼根の事前汚染。記録しましょう」

三枝は入力した。

12:20　不明差出人より件名“Seeded”のメール受信。複数の連絡先変更仕込みを示唆。“いくつかの根は後から育つ”と記載。信頼根汚染として整理。証跡保全。

保存。

望月が言った。

「全取引先マスタを確認する必要がありますね」

黒崎が答えた。

「はい。ただ、件数が多いです」

山崎が言った。

「優先順位をつけます。医療機関、重要配送先、緊急連絡先、個人情報通知先、災害時連絡先、最近変更されたもの、電子署名付き変更依頼、外部訓練参加先」

秋山が頷いた。

「一次監査を今日中に始めます」

午後一時十分。

登録済み連絡先の真正性統制がまとめられた。

山崎がホワイトボードに書く。

連絡先真正性統制

一　連絡先変更は低リスクではない。

二　変更依頼は、旧登録連絡先または代表番号で確認する。

三　変更後連絡先だけで確認しない。

四　電子署名付き依頼書でも、目的・権限・現行承認を確認する。

五　医療機関・重要配送先・緊急連絡先は自動承認禁止。

六　連絡先マスタ変更には、変更前後、確認者、確認経路、証跡、反映時刻を記録する。

七　相互確認プロトコルでは、確認番号だけでなく、確認先マスタの真正性も定期確認する。

八　共同訓練後の連絡先・テンプレート・外部支援者削除を共同終了確認書に含める。

営業部長が言った。

「連絡先変更は、営業が日常的に扱います。手順が重くなりすぎると困ります」

山崎は頷いた。

「すべてを同じ重さにしません。リスク分類します。通常の担当者名変更と、重要配送・緊急・受領・通知先変更は違います」

三枝は、分類表を作った。

通常連絡先請求・契約連絡先配送連絡先受領確認先緊急連絡先個人情報通知先災害時連絡先

高リスクは手動確認。低リスクは二段階承認または通知付き。

山崎は頷いた。

「良いです。業務が止まらないように、リスクで分けます」

午後二時三十分。

主要取引先向け注意喚起が送信された。

件名。

登録連絡先変更・受領確認・共同訓練アカウントに関するお願い

本文には、三つの確認が明記された。

一、連絡先変更は旧連絡先で確認する。二、電子署名付き文書でも、内容と承認経路を確認する。三、共同訓練で使った外部支援アカウント、配信テンプレート、地図、連絡先を棚卸しする。

営業部長が言った。

「反応が早いです。いくつかの病院から、自院側でも確認すると返信が来ています」

望月は頷いた。

「ありがたいです」

山崎が言った。

「共同体が修正を始めました」

三枝は、その言葉を時系列に入れた。

14:36　主要取引先向けに登録連絡先変更・受領確認・共同訓練アカウントに関する注意喚起を送信。複数医療機関より、自院側でも外部支援アカウント・連絡先変更履歴を確認する旨返信あり。

保存。

午後三時四十分。

Blue Heronからメールが届いた。

件名は、Too many old numbers。

本文は短い。

Old numbers are honest.New numbers are useful.

古い番号は正直だ。新しい番号は便利だ。

三枝は、保全した。

山崎が言った。

「攻撃者にとって、新しい番号は便利です。こちらにとっては、古い番号が信頼の根になる」

大石が言った。

「古い連絡先をすぐ消さない方がいいんですか」

山崎は頷いた。

「一定期間は、変更確認用の旧連絡先として保持する必要があります。ただし、古い連絡先にも権限や個人情報がありますから、保存期間と利用目的を決めます」

秋山が言った。

「連絡先の履歴管理が必要ですね」

三枝は、取引先マスタに新しい機能を設計した。

連絡先履歴旧連絡先。変更申請者。確認経路。確認者。有効開始日。有効終了日。変更理由。高リスクフラグ。確認証跡。

入力。

15:40　不明差出人より件名“Too many old numbers”のメール受信。旧連絡先が変更確認の信頼根となることを示唆。対応方針：連絡先履歴管理を導入し、旧連絡先を目的・期間限定で変更確認に利用。

保存。

午後五時。

取引先連絡先マスタの緊急一次監査が完了した。

高リスク連絡先変更申請。

十二件。

うち、正常確認済み。

七件。

不審・保留。

五件。

不審五件のうち、三件はBlue Heron関連と見られるドメイン・番号。二件は、単純な社内入力ミスだった。

営業部長が、少しほっとした顔で言った。

「全部攻撃ではありませんでした」

山崎は頷いた。

「それも重要です。攻撃とミスを分ける。全部を疑うと業務が壊れます」

久我が言った。

「ミスも、攻撃者に利用される可能性があります。だから、修正は必要です」

三枝は入力した。

17:02　高リスク連絡先変更申請12件の緊急一次監査完了。正常7件、不審・保留5件。不審5件のうち3件は攻撃関連疑い、2件は社内入力ミス。攻撃とミスを分けて対応継続。

保存。

午後六時半。

Blue Heronから、その日最後のメールが届いた。

件名は、Root audit。

本文は、一行。

Roots hate being counted.

根は、数えられるのを嫌う。

三枝は、保全した。

望月は、画面を見て言った。

「数えます」

山崎が頷いた。

「はい。信頼の根を数えます」

黒崎が言った。

「証明書、電子印、登録連絡先、管理者、署名鍵」

秋山が続けた。

「委任状、代理人、契約窓口」

大石が言った。

「受領先、配送先、緊急連絡先」

久我が言った。

「NTP、タイムスタンプ、外部受領先」

三枝は、全員の言葉を聞きながら、信頼根台帳の新しいシートを作った。

信頼根台帳

分類。

連絡先。署名鍵。電子印。証明書。管理者。代理人。時刻源。外部確認先。受領確認先。緊急連絡先。

山崎は、それを見て言った。

「これが、今日の到達点です」

三枝は頷いた。

会社は、何を信じているのか。

その根を数え始めた。

午後八時。

山崎は、その日のまとめをした。

ホワイトボードには、今日の言葉が並んでいる。

登録済み連絡先確認先も、確認されなければならない。連絡先は、更新時に攻撃される。連絡先マスタは、本人確認インフラである。信頼根汚染確認は、不信ではなく相互防御。

山崎は言った。

「今日、攻撃者は、受領側確認の次に、確認先そのものを変えようとしました。登録済み連絡先は、防御の根です。根が変われば、確認は攻撃者へ向かいます」

望月が頷いた。

「だから、根を守る」

「はい」

営業部長が言った。

「連絡先変更を軽く見ないようにします」

大石が言った。

「現場も、配送先や受領先変更は旧連絡先で確認します」

秋山が言った。

「法務総務も、契約窓口変更を高リスク扱いにします」

三枝が言った。

「情シスは、マスタ変更ログとドメイン類似を監視します」

山崎は、静かに頷いた。

「相互確認の前に、確認先の真正性です」

午後十時。

三枝は、一人で信頼根台帳を見ていた。

まだ空欄だらけだった。

だが、分類だけはできた。

連絡先。署名鍵。電子印。証明書。管理者。代理人。時刻源。外部確認先。受領確認先。緊急連絡先。

会社は、思っていたより多くのものを信じている。

そして、攻撃者は、その信じるものを一つずつ偽装し、汚し、古いものにすり替えようとしている。

三枝は、自分のノートに書いた。

信頼は、気持ちではなく、管理対象である。

保存。

山崎が、背後から言った。

「今日の結論ですね」

三枝は振り返った。

「信頼まで台帳にするのは、少し寂しい気もします」

山崎は、少しだけ考えた。

「台帳にするのは、信頼をなくすためではありません。信頼を守るためです」

三枝は頷いた。

「はい」

午前零時。

三枝は、時系列表の最後に入力した。

00:00　県立東駿河医療センター物流管理課の登録済み連絡先変更申請について、同院名義電子署名付き依頼書を添付し、customer-master-maintにより自動承認済みだったことを確認。旧登録代表番号で同院へ確認し、同院は変更依頼発行を否定。マスタ反映前に停止。同院側でも災害時物流訓練用電子印・外部支援アカウントが悪用された可能性を確認。取引先連絡先マスタを信頼根として統制対象化し、自動承認停止、旧連絡先確認、連絡先履歴管理、信頼根台帳の作成を開始。

保存。

画面右下。

保存しました。

三枝は、自分のメモにも一行追加した。

誰を信じるかを、攻撃者に書き換えさせない。信頼の根は、会社自身が守る。

保存。

第三会議室の外では、倉庫が静かに動いていた。

配送先がある。受領先がある。確認先がある。

それらは、ただの住所や番号ではない。

会社が、現実とつながるための根だった。

そして、根は見えにくい。

だから、掘り起こして、数えて、守る。

会社は、ようやく信頼の根を自分の手で確かめ始めていた。