3回洗うと6％縮むTシャツと、温度が上がった冷蔵庫――「使う人が気をつけて」はどこまで通用するのか

3回洗濯すると、最大で6％縮む。フランスの消費者情報誌「60 Millions de consommateurs」が保温Tシャツ12種類をテストしたところ、一部の製品でこの結果が出たという。およそ半サイズ分だ。買う前に、誰かが洗って、着て、自転車に乗って確かめてくれているわけだ。

同誌の記者によれば、保温Tシャツは熱を生み出すわけではなく、体の熱を逃がさず空気の層をつくる衣類である。高ければよいとも限らない。最も高価なPatagoniaの製品は保温性こそあったが、引っかき傷や引っ掛かりへの耐久性は他より劣った。DamartやUniqlo、Impetusなら、26〜40 eurosで良い製品が見つかるという。

私が引っかかったのは、この記事の「安全」の扱い方だ。合成素材には内分泌かく乱物質が含まれる可能性があり、肌に直接触れる衣類では危険になり得るとして、OEKO-TEX®のラベルが目安に挙げられている。アトピー性の肌や湿疹のある人には、刺激の問題も起こりうる。つまりここでは、見えない危険の一部が、第三者の検査やラベルという形で、買う前に確認できるものとして出てくる。もちろん最後は洗濯温度（30°、最大でも40°）や乾燥機を避けることまで含めて、使う人の注意に委ねられる。それでも、確認の入口は用意されている。

この「確認の入口」が、別のニュースではほとんど見えなくなる。

冷蔵庫は温度を上げられ、利用者は気づく前に在庫を失った

10月12日、Système U、Intermarché、E.Leclercなど、フランスの複数の大手小売チェーンの店舗で、冷蔵庫や冷凍庫が攻撃された。攻撃者は遠隔から、デンマークの冷蔵設備メーカーDanfossの温度制御システム、続いてDixellのシステムに侵入していたという。

11月2日には、ベルギーでも同様の事案が確認された。Carrefourの広報担当者によれば、700店舗のうち約15店舗で冷蔵設備の庫内温度が上昇したが、影響は「ごくわずか」。Intermarchéは十数店舗が影響を受けたと説明し、「警報が非常に早く鳴ったため、全員が迅速に対応した」と述べた。時間内に電源を切れなかった冷却装置もあったが、商品の発注を再開したため、消費者への目立った影響はないとみている。Delhaizeは数十店で生鮮・冷凍食品の品ぞろえが一時的に限られたと発表し、Colruytグループによれば、Sparの5店舗も影響を受けた。

フランス側の報道によると、冷蔵設備は遠隔保守や診断のためにインターネットにつながっており、攻撃された制御装置にはすでに知られていた脆弱性があった。ネット接続冷蔵庫の仕組みを解説した記事で、TELECOM Nancyの研究者Rémi Badonnelはこう語る。「かつて、こうした設備は外部から隔離されていました。現在は遠隔保守や診断を可能にするため、インターネットにつながっています」。攻撃者は設備を乗っ取り、霜取り運転を作動させて温度を上げ、食品を食用に適さない状態にした。

ここで見過ごされがちなのは、この被害の「見え方」だ。Tシャツが縮めば、買った本人はすぐ気づく。だが冷蔵庫の制御装置に既知の脆弱性があるかどうかは、店で買い物をする客にはもちろん、設備を使う店の側にも、日常業務の中では見えにくい。便利さと引き換えに接続された機器は、安全の中身まで、使い手の目の届かない場所に置かれてしまうのだ。

家庭にも十分な数の「入口」がある

これは業務用だけの話ではない。記事によれば、フランスの家庭には平均して約10台のIoT機器がある。スピーカー、カメラ、警報装置、音声アシスタント、ロボット掃除機などだ。Badonnelは、IoT機器は利用できる資源が限られ、パソコンやスマートフォンのような保護機能をほとんど備えていないと指摘する。パソコンが侵害されれば主に脅かされるのはデータだが、IoT機器の場合は、見守りカメラが自分を監視する手段に変わるなど、日常生活に直接響く。

最もよくある誤りは、設置時の初期ログイン情報をそのまま使い続けることだという。注目すべきは、その理由だ。設置業者がパスワード変更の必要性を伝えないこともあれば、利用者が機器にパスワード設定が必要だと知らないこともある。メーカーの初期パスワードは複数の機器で同じことが多く、設定が不十分なために世界各地の監視カメラの映像を公開している専門サイトまで存在する。映っているのは一般家庭だけでなく、店舗の内部でもある。

対策として専門家が挙げるのは、初期パスワードの変更、定期的な更新、信頼できるブランドの選択、インターネットへの露出を抑えることだ。数ユーロで売られる製品は、保守の面で信頼性がとても低いことが多いとも述べている。ここまでは、確かに利用者に求められる行動である。ただ、「パスワードを変えよ」という助言が成り立つのは、変えられることを利用者が知っている場合に限られる。

警察官でさえ、電話一本で試される

三つ目のニュースは、一見すると機器の話ではない。フランス国家警察総局長Louis Laugierは10月29日付の通達で、警察職員に最大限の警戒を促した。警察官や国家憲兵隊員、市警察官を装い、電話で車両登録システム（SIV）や指名手配者ファイル（FPR）の情報を聞き出そうとする詐欺が、地域組織で確認されたためだ。発信者番号を偽装する「スプーフィング」により、受信者の画面に行政機関の実際の番号が表示される場合もあるという。

通達の指示は具体的だった。例外を除いて、警察のデータベースの情報を電話で伝えない。依頼元とされる部署には、公式かつ独立した情報源から得た番号で折り返す。疑わしい問い合わせは、直ちに上司に報告する。

ここからは私の解釈だが、この通達には重要な含意がある。相手の声や画面の番号を見て「本物かどうか」を個人が見抜くことを、前提にしていないのだ。画面の番号まで偽装されるなら、個人の注意力に頼る設計はもたない。そこで組織は、判断を個人の勘から手順に移した。「疑わしければ折り返す」「疑わしければ報告する」という手順だ。

三つの話に共通する、「誰が先に確かめるか」の配置

Tシャツ、冷蔵庫、電話。三つを並べると、安全の確認が誰の手元にあるかが違って見えてくる。

Tシャツでは、第三者のテストとラベルが、買い手の前に置かれている。冷蔵庫や家庭用IoT機器では、既知の脆弱性や初期パスワードという危険が、設置・運用・利用の各段階に分散していて、利用者の目には届きにくい。電話詐欺では、組織が手順を定めて、個人の判断だけに頼らない形をつくった。

つまり問いは「利用者が賢くなるべきか」ではなく、「確認の責任を、どの段階に置くか」にある。ベルギーの小売業者の例も示唆的だ。警報が早く鳴り、素早く対応した店は被害を抑えられたという。この説明に沿えば、使う側の注意よりも、異常を早く知らせる仕組みと対応体制が効いたことになる。

日本の読者は、ここで身近な「自己責任」という言葉を思い浮かべるかもしれない。一般に、便利な製品は使う側が説明書を読み、注意して使うべきだという感覚が強いと言われることがある。だが今回のニュースに照らすと、利用者の注意だけでは足りない場面がはっきりある。比較するなら、製品を買う人の側だけでなく、サービスを提供し、設備を運用する側の安全責任を考える視点が欠かせないだろう。なお、アメリカの具体的な対応策は、今回の関連記事からは比較できない。記事が触れているのは、2016年10月にアメリカのウェブの一部を数時間麻痺させた大規模攻撃の例だけだ。

これから問われるのは、設計から運用まで、誰が説明するかだ

Belgium のサイバーセキュリティ機関は、「すべてのコンピューターシステムは潜在的に脆弱であり、AIによって、特に高度な攻撃者が脆弱性を利用して攻撃を成功させられるようになっている」と警告している。攻撃の側が手軽になるなら、確認する責任を利用者の努力に預け続けるのは、ますます難しくなるはずだ。

最後に、少し遠い話を一つ。Kepplair Evolutionは、ATR72を水投下機に改造する「Forest Keeper」を開発している。報道によれば、2027年初頭の試験と欧州認証を目標にしている。ニュースは安全性の中身に触れていないが、人命や災害対応に関わる機体は、使う前に誰かが確認するのが通念だと言えそうだ。同じ発想が、冷蔵設備の制御装置や、家庭に並ぶ接続機器にどこまで及ぶのか。それが、これからの基準の焦点になるのではないか。

消費者情報誌のテスト、ラベル、警察の通達、店の警報。いずれも、危険を先に見つけるための仕組みだ。使う人には見えない危険を、誰が先に確かめ、どう説明すべきだろうか。あなたの家の冷蔵庫やカメラのパスワードを、最後に変えたのはいつだっただろう。そもそも、変えられると誰かに教えられただろうか。