――
これには二つの報道がある。
(1) AERA
「架空の番号でも予約が可能なので、誰もが好き勝手に予約できる」という調査報道。AERA がワクチン予約サイトを調査した。
システムには重大な“欠陥”があることがAERAdot.編集部の調べでわかった。予約対象者の65歳以上の高齢者ではなくても、誰でも、何度でも予約ができるのだ。
AERAdot.編集部で東京の予約サイトで試してみると、6桁の市区町村コードには「654321」、10桁の接種券番号には「9876543210」と適当に番号を入力。生年月日も「1956年1月1日」と適当に入力したところ、そのまま進めて、5月29日8時から予約が取れてしまった。
念のため、もう一度、予約をしてみた。市区町村コードは「555555」、接種券番号は「4444444444」、生年月日は「1954年1月1日」にした。こちらも5月30日16時30分からの枠を予約できた。6桁、10桁未満だとエラーが出たが、それを満たせば予約が取れるというセキュリティ上の“欠陥”があるのだ。 「極論すると、悪意を持った人物が、乱数的に任意の番号を次々と入力し、全ての枠を占拠することすら出来てしまう、危機管理も何もあったものじゃない。杜撰な仕組みです。予約枠だけ占拠して、当日誰も行かなければ、大量のワクチンがムダになりかねない、まさにワクチンテロが出来てしまいます」
（ → 【独自】「誰でも何度でも予約可能」ワクチン大規模接種東京センターの予約システムに重大欠陥 ｜AERA dot ）
よくまあ、調査したものだ。感服した。非常に立派である。マスコミの鑑だ。
おまけに、裏事情まで調べてある。
防衛省ホームページに掲載されている予約システムの最下部にはシステムの運営会社として「マーソ株式会社」（Copyright c MRSO Inc. ALL RIGHTS RESERVED.）と記されていた。同社の経営顧問には菅首相の盟友、竹中平蔵氏が名を連ねていた。
なるほど。さもありなん。
(2) 防衛省
これを受けて、防衛省から声明が出された。
防衛省によりますと、実在しない番号で予約しても、会場では接種券を提示しなければ接種は受けられないということです。
また、会場では運転免許証などによる本人確認も行われ、他人名義で予約を行うなどの不正が確認された場合は、接種券を持っていても接種を断ることがあるとしています。
防衛省は、「実在しない番号での予約は貴重な予約枠をむだにするだけなので、絶対にしないでほしい」としています。
（ → ワクチン大規模接種 架空番号で予約可能状態 適正入力呼びかけ | NHKニュース ）
こんな馬鹿げた結果を招いた理由についても釈明している。
防衛省関係者によりますと、短期間で予約システムを構築することが求められる中、対象となるすべての自治体の接種券の番号をシステムとひも付ける作業はできなかったということです。
まあ、それはわかる。だが、そうだとしたら、次の疑念が浮かぶ。
「自治体の予約システムはどうなのか？ 今回は防衛省のシステムの不備がわかったが、自治体のシステムでは不備はないのか？ 自治体のシステムでは、ひも付ける作業はできたのか？ もしかして、自治体のシステムでも、同様の問題が起こるのか？」
――
では、どうすればよかったのか？ ここまでの事情を見ると、話は簡単ではない。
・ ひも付けしないと、今回のような問題が生じる。
・ ひも付けするには、長い準備期間が必要だ。
どっちにしても駄目だ。あちらが立てばこちらが立たず、という感じだ。困った。どうすればいい？
――
そこで、困ったときの Openブログ。正解となる案を出そう。こうだ。
「個人番号に続けて、ハッシュ値（検証用の数字）を記しておく。４桁ぐらいの数字。それを接種券に印刷しておく」
ハッシュ値は、ワクチンの予約のときのみに入力が必要だ。ここで正しいハッシュ値を入力すると、正当な権利者と認定されるので、以後の手続きに進める。間違ったハッシュ値を入力すると、退場となる。……というわけで、他人が勝手に予約することはできないわけだ。
また、ハッシュ値を検証するのは、（一定の計算式によって）パソコン上で一瞬でできる。ひも付けのような面倒な手続きは一切必要ない。だからチェックは簡単に済む。
このようなことは「ハッシュ値」という IT知識を知っていれば、簡単に思いつくことだ。それができなかったということで、制度設計者の IT知識が著しく低かった、ということができる。
※ システム設計者の責任とは違う。そもそも接種券にハッシュ値を記入しておく必要があった。そこまで考えておくべきだった。
――
なお、システム設計者の問題もある。
どうせ「接種の会場では、接種券が必要だ」というのであれば、システムの入力時には、番号の入力を求めるべきではなかった。なぜなら、番号の入力がもともと無意味だからだ。無意味なことを求めるべきではなかった。
無意味なことを求めると、次の弊害が生じる。
・ 番号を入力すれば予約が取れると思い込んだ人が、無効な予約を取る。
・ システムで間違った番号を入力したら、会場で不一致が判明して、トラブルが発生する。
システムで番号入力をすることには、メリットは何もなく、害悪だけがある。だったら、最初から（無意味な）番号入力は求めなければよかったのだ。
「無効なことを求める仕様」
というのを設計した段階で、システム設計者には大きなミスが生じている。こんな無効な措置を導入するくらいなら、「番号入力を求めない」というシステムにするべきだった。
システム設計者も（副次的ぐらいの）責任はある。
ただ、最大の責任は、制度設計者にある。制度設計者が、ハッシュ値を導入して、接種券に記載しておくべきだった。
そして、それができるだけの IT知識がなかったという点で、日本の役所は（情報化時代に取り残された）馬鹿ぞろいだということになる。
こんなに馬鹿ぞろいなら、せめて、退職した IT技術者でも雇用すればいいのに。彼らなら、ハッシュ値の知識ぐらい走っているだろうから。
特に、パナソニックの退職技術者が大量に発生しているようだ。
→ パナソニック「退職金4000万円上乗せ」で50歳標的の壮絶リストラ【スクープ】 | ダイヤモンド・オンライン
【 追記 】
地方自治体におけるデータベースで、ハッシュ値を記録している事例は非常に少ない、というデータ。
出典：市町村長が有する接種記録（予防接種台帳）の現状
※ ハッシュ値をデータベースに掲載しないで使っている事例は含まれないようだ。パソコン上でチェックするなら記載しなくてもいいが、現場において紙の数字でチェックするなら記載が必要だろう。
【 関連項目 】
同じ話題をめぐる続編。
→ ワクチン接種券の偽造: Open ブログ
→ 接種予約システムを改修: Open ブログ
→ 正しい番号でも拒否される: Open ブログ
→ できない理由を言うな（ＩＴ） （ 21日の夜、公開予定）
ハッシュ値、チェックサム（チェックデジット）など、言葉では知っていました。自動車税などの公金を支払いサイトで支払うときに、長ったらしい納付番号の他に６桁の「確認番号」を打ち込みますが、これがそうですよね？ それにしても、行政側はこういうので慣れているはずなのに、今回の予約システムの設計には織り込まなかったのは不思議ですね。
ところで、「ひも付けするには、長い準備期間が必要だ」について、そもそも、こんな「ひも付け」作業を裏でワザワザ行っている同種システムは他にあるのでしょうか？ また、上に書いた公金支払いシステムでも、こういった「ひも付け」は行われているのでしょうか？
福岡で医療者ワクチンのロジが破綻「大量のワクチンが眠ったまま」「医療従事者の4分の3が打てていない」 - Togetter
https://togetter.com/li/1715242
https://www.nishinippon.co.jp/item/n/739309/
＞ 委託を受けた広告代理店の情報集約、手配業務が追い付かずワクチンの行き場が決まらないままになっている
＞ 広告代理店に頼むってのがバカなんじゃないの？
可哀そうなのは申込システムを作った人ですね。大量の申込を捌くシステムを短期間で作らされるだけで厳しいのに、桁数のチェックぐらいしかできないのに、バカだの、糞システムとか言われて（それ込みの金額で受注したのかもしれませんが）。
まあ、こういうのは初回は混乱が付きものなので仕方がないとは言えます。
むしろ、第一波から１年もあったのにこういったシステムについて検討・検証していなかった方が問題だと思いますね。
発注側の担当者がやる気がなくて、かつ、運悪く受注業者の知識・技術が無さすぎで、業者側から一般的な提案が出せない時によく発生します。
発注側もITの知識はなくとも、やる気さえあれば検討の段階で「〇〇の場合どうなるの？」がいくつも出てくるはずなので、それをふさいでさえいれば、今回のような事態にはならなかったはずですね。
https://dot.asahi.com/dot/2021051100074.html?page=1
以下、転載。
――
＞ ドタバタになったのは、菅首相と和泉首相補佐官ら側近が唐突、かつワクチン担当の厚労省との事前調整なしに大規模接種センター立ち上げをぶち上げたからです。
＞ 防衛省はシステム上の不備を事前に把握していたが、２４日の接種スタートを優先し、改修を見送っていた。
https://www.jiji.com/jc/article?k=2021051801022&g=soc
たとえ善意からでも問題行為はいけないかと。
については、高木浩光氏の解説があります。
＞ 不正アクセス禁止法違反行為の場合は、新聞報道であろうとも事実確認のため他人のパスワードでログインした時点で罪を構成する（かつての遠隔操作事件での書類送検事案あり）が、電磁的記録不正作出供用罪の場合は、キャンセルしたならば、人の事務処理を誤らせる目的があったことにはならないだろう。
https://twitter.com/HiromitsuTakagi/status/1394293656467632134
※ 連続ツイートなので、前後のツイートも参照。
＞ 地方自治体におけるデータベースで、ハッシュ値を記録している事例は非常に少ない、というデータ。
⇒ そうなんですね〜。今回の問題が発生する素地が、以前からあったということですね。大変参考になりました。追記をありがとうございます。
ハッカー紛いとは言いましたが、そうでなくとも不正な行為を行った事実は変わりません。
メディアという企業がそんなことをしたならば、信用の低下ものでしょう。
それとそういった問題点は記事にせず開発部にのみ伝えるべきでしょうが。
不安を煽ったり自己利益を得るために記事にしたと思われても仕方ないですよ。
→ https://b.hatena.ne.jp/entry/s/twitter.com/KishiNobuo/status/1394440062125805572
＞ 誰でも予約ができてしまう脆弱性があり、このシステムを使って重大な不正行為が行われる恐れがあることを指摘したものです。この点について事前に防衛省とシステムの委託先の会社に見解を求めましたが、明確な回答は得られませんでした。取材過程における予約は情報に基づいて真偽を確かめるために必要不可欠な確認行為であり、記事にある通り、確認後にキャンセルしております。
https://dot.asahi.com/info/2021051900065.html?page=1
システムの欠陥は問題としても、それを報道することによる愉快犯などの発生の危険性は否定できません。
修正の必要性はあれど、それを大っぴらにするのは疑問です。
すでに書いてあるでしょ。「大っぴらにする」というが、隠された秘密をおおっぴらにするわけじゃない。
たくさんの人が簡単に気づくようなことを確認して公表するだけです。
比喩で言うと、南京錠の鍵番号を探り出して公開するのではなく、もともと鍵もかけずに玄関をあきっぱなしにしている建物を見つけて、「この建物には鍵がかかっていませんよ。危険ですよ。鍵をかけましょう」と告知しているだけです。しかもその建物は、個人宅ではなく、政府の建物です。
黙っていれば誰も入らない、というものではない。もともとあきっぱなしなのだから、何の知識もなしに、誰でも入れる。その状態を教えているだけです。鍵番号を教えるのとは違います。
あなたはそこを混同している。
仮にあなたの主張が正しいとしたら、AERA の指摘を得て、政府がシステムを改修したのは間違いだ、ということになる。
あなたは政府に「改修するな。もとのままのように、玄関をあきっぱなしにしろ」と文句を言うべきです。あなたが批判するべきは、AERA ではなく、政府なんですよ。
私の指摘は「報道という行動はマズイ」ということです。
問題点を指摘するのはいいが、大きい声で言うとそれを聞いた悪意ある人がそれを利用して悪用しかねないので、こっそりと表立たない形で伝えるほうがよいということです。
言わせてもらうならば、貴方は「報道するのはダメ=問題点を修正するな」と短絡的に考えてます。
誤った二分法です。
視野が狭いのですよ、偏見メガネ。
それと、コメントブロックは避けてください。
多用すると人の意見を聞かない独裁者と同じと自分で言うようなものです。
→ https://bit.ly/2TbQ2kt
まずシステム系の不具合を公表する場合、詳細を出すのは推奨されていません、それをもとに悪意ある人が問題行為をする恐れがあるからです。
IPAでもそのような見解出てるはずです。
それと当時は一刻も早くワクチンの接種を進めなければならない状況で、あのような報道を行なってしまうと、ワクチン接種に向かい風になるのは明確です。
システム開発期間も1週間程度だったそうですし、予約と手持ちの証明書による体制でも「完璧ではないが、妥当」だと思われます。
それと政府の施設の例えですが、「鍵がかかってない」と大きく言ってしまうと、勝手に忍び込もうとする人間が出る可能性が大きくなるとは考えなかったのですか？
お言葉に従って、ラムダ株が入っていることを隠蔽していますよ。
https://www.chunichi.co.jp/article/309964
真実を隠蔽して、都合の悪いことはすべて内緒にする、という体質。
お望み通りで、良かったですね。
＞ 鍵がかかってない」と大きく言ってしまうと、勝手に忍び込もうとする人間が出る可能性が大きくなるとは考えなかったのですか？
別に問題ない。仮に虚偽の予約をして、会場に現れたら、現行犯で逮捕してしまえばいい。
虚偽の予約だけで業務妨害をしようとしたら、IP ドレスから、やはり本人を逮捕してしまえばいい。
「鍵がかかっていない部屋」を公言しても、そこに警官を用意しておけば、のこのこ入ってきた空き巣をあっさり逮捕できるんです。トラップ。
下手な理屈で、失敗を隠蔽する方が、よほど害悪がある。
システム系の不具合は、内容を明かす際は内容を詳細に述べすぎるとかえって危険だから、詳細に述べたものを報道したりするのがNGということです。もう少し補足すると、「誰でも簡単に気づく内容だから」というのも理由にはなりません。繰り返しかもしれませんが、そもそもシステム系の不具合は詳細に報道してしまうと、それを参考に愉快犯が出る恐れが高いから、詳細に報じるのは危険ということです。ワクチン云々は関係なく、そもそもそうしなければならないというだけなのです。
そも予約システムの件は、ちょっと言ってることが変わってるかもしれませんが、状況や開発期間・行政上の手続きの簡略化・会場での対応などから見て「そういう仕様」と判断するのが残当で妥当かと思われますし、「不具合」と報道してしまうと接種の滞りなどでむしろ接種の阻害で問題の長期化を招きます。
それぞれの影響をまとめるとこんな感じ。
予約システムについての報道
→ワクチン接種活動への悪影響
ラムダ株についての報道
→ラムダ株への警戒が早まる可能性
完全に別ベクトルですよ、言ってしまえば燻製ニシンの虚偽ですよ。
それと私のコメントの引用についても、「報道はダメ」という点だけを抜き出したチェリーピッキング臭いです。
虚偽予約や逮捕に関しても、そもそも「鍵がかかってない」とも「システムに欠陥がある」と大きく言わなければそもそも空き巣や虚偽予約発生する可能性は上がらないでしょうが。
警官の配置が間に合わない場合もありますし、余計な人員増加でコストと感染リスクを上げてどうするんですか。IPからの探知についてもそのIPが偽造されていた場合はどうするのですか。無駄足じゃないですか。そもそも不具合ではなく仕様と見るのが妥当なものを不具合と報道して愉快犯の妨害が発生する方が害悪です。
どう考えて大きく言ったり報道するほうがリスクや悪影響が大きいです。そういうのはサイレントに伝えて対処するのが一般的です。常識が足りません。
まとめるとこんな感じ。
鍵がかかってない建物
（大きな声でかかってないと言った場合）
→警官を配置するよりも早く侵入され、好き放題される可能性
（こっそり鍵がかかってなかったと伝えた場合）
→鍵がかかってないことが広まる前に処置を完了できる可能性
ワクチン接種会場
（不具合と報道した後で警官を配置する場合）
→会場の密度向上による感染リスクや対処コストの上昇、逆探知での余分なコストの発生
（報道を取りやめた場合）
→警官配置の必要性の消失
それと追加するとアエラの担当機関への質問も回答期限が異常に短く、答えてもらうつもりが無かったそうです。報道と言うのも怪しいですのよ。
一般論はそうですが、今回は、秘密情報ではなく、誰でもすぐにわかる情報です。朝日の人だって、別にコンピュータの知識があったからわかったわけじゃない。ちょっと試すだけで、素人にも簡単にわかる。
朝日だけが見つけたわけじゃなくて、日本中の各地で判明していることなのに、それを「報道するな」と言っても、 twitter などで拡散するだけだ。
結局、秘密保持の意義はまったくなく、単に政府が国民の追及を避けることができるだけ。
あなただって、そうでしょ？ 朝日の追及から政府を守るために、いろいろと論じているんでしょ？ 菅首相が大好きだから。
それとも、「朝日が報道しなければ、この情報は秘密が守られる」と、本気で思っているのかな？ まさか、それほどの馬鹿じゃないですよね？ ド素人じゃあるまいし。
――
ついでですが、今回の報道で、現実の被害は発生していません。すでに報道されたことで、犯行をする動機がなくなったからだ、とも言える。
犯行者がいるとしたら、業務妨害をしたいという愉快犯だが、すでに大々的に報道されたことを真似しても、ちっとも面白くないから、愉快犯の動機が消える。
その意味で、大々的に報道したことは、犯行を消滅させる効果があったと言える。
※ なお、高度な知識を要する犯行の場合は、話が別だ。犯人が技術を誇示するという愉快犯の動機がある。しかし、今回は素人でもできるような幼稚な方法だから、愉快犯が実行する動機がない。「馬鹿でもできるようなことをやって、逮捕される危険だけがあるなんて、ナンセンスだ」と思うので、犯行を行う動機が消える。
たとえ幼稚な内容でもやりかねないのが人間ですから、迂闊に拡散するのはNG。
そも今回の件は不具合というよりは仕様と言う方が妥当だと、日経で書かれていたそうです。
日本の各地で判明という話は私の調査不足かもしれませんが聞いたことがありませんが報道以前にそういう話があったということでしょうか。
それと私も勘違いしてしまっていたのですが、そも今回の問題はマスコミが取材の面目で偽計業務妨害紛いのことを行ったこと、あと回答が困難な短時間での回答要求を出して答えられなかったことを「回答がなかった」と言ったことなどの問題行為です。
以前リンクを挙げられたあの弁護士の考えも、常識から離れており認めるのは難しいのですよ。
仮に同じような行為を企業や個人経営店の予約に対して行なって、それが社会的に認められるかどうかといったら否ですよ。
「政府相手だから許される」も理由にならない。
本件の根幹は「その行為は取材でも許されるものではないんじゃないか」というものです。近いのは、北海道新聞の北大への不法侵入の件です。取材だからと言って何でも許されるわけではない。
この件については、こちらの動画が簡潔にまとまっております。
https://youtu.be/xkcA852uKXI
× 北大
◯ 旭川医大