# オープニング #良い謝罪悪い謝罪 どうもー。セキュリティジョッキーの松野です。 5社のセキュリティ企業を立ち上げて、300人以上のセキュリティ人材を輩出した屈指のセキュリティ企業家である私、松野が、無職になってもサイバーセキュリティの最新ニュースについて解説しております。 ということでね、今日は良い謝罪、悪い謝罪に関する話なんですけども、 そうですね、昨年まで社長をやらさせていただいておりましたので、時にお客様に、申し訳ございませんでしたと謝罪をさせていただく場面もよくあったわけなんですけれども、 その際にですね、これ両方に共通する話だと思うんですが、言い訳をしないってことはですね、非常に重要だと思っています。 自分が悪いと謝ると決めた場合はですね、とにかく謝ると、実はこここうで、こここうだったので、申し訳ございませんと言う前提の部分ですね、その言い訳の部分は全くいらないというふうに思っています。 これですね、相手の立場に立ってみるとイメージつくのかなと思うんですけども、その相手が悪いと、その謝罪を受けるという場面においてですね、理由っていらなくないですか。 まあ、そこを聞きたくないですよね。まずは謝罪を述べようという場面なわけなので、それをですね、まず達成すると。その上で、ところでなぜなのと、 なんでこうなっちゃったのと聞かれた場合だけにですね、その言い訳と言いましょうか、その背景をですね、しっかり説明するということが必要だと思っておりますので、とにかくですね、謝罪に徹するということが大事だと思っております。 はい、ということで今回はデータベースに対するSQLインジェクション攻撃について取り上げております。 この放送を通じてですね、リスナーの皆さんにはSQLインジェクションの影響とその対策について理解を深めていただければと思います。それではどうぞ。 # くすりのしおりデータベースに SQLインジェクション攻撃、外部不正サイトを示すテキストを付記 薬のしおりデータベースにSQLインジェクション攻撃 外部不正サイトを示すテキストを吹き 一般社団法人薬の適正使用協議会は2月21日 同協議会の薬のしおりデータベースに行われたサイバー攻撃について調査結果を発表しました こちらの記事を簡単に解説お願いできますでしょうか はい 今回のインシデントは薬のしおりデータベースが SQLインジェクション攻撃を受けたことに起因しています 具体的には2024年12月29日に薬のしおり ミルシルサイトに不正アクセスが行われデータベースが改ざんされました 翌日協議会の職員が製品命欄に外部不正サイトを示すテキストが追加されているのを発見し すぐにシステム管理会社に連絡しました その結果12月31日には関連システムがすべて停止され 教育サイトの教材ダウンロード機能も停止されました 調査の結果 SQLインジェクションによる脆弱性が原因で データベース内の複数の箇所に不正なテキストが挿入されていたことが明らかになりました ただしサーバーへの不正侵入やログの改ざん 情報漏洩は確認されていません 協議会は2025年1月17日にシステムの復旧を完了し再開しました さらに脆弱性診断を実施し問題のあるプログラムを回収したり 他の関連システムにも診断を行ったりするなどセキュリティ対策を強化しています 今回のようなインシデントを防ぐためには私たちはどのような対策を講じるべきでしょうか はい インシデントを防ぐためにはまず脆弱性診断を定期的に実施することが重要です これによりシステム内の潜在的な脆弱性を早期に発見し修正することができます また開発者や運用者に対してセキュリティに関する教育を行い SQLインジェクションのような攻撃手法についての理解を深めることも必要です さらに入力データの検証やエスケープ処理を徹底することで攻撃のリスクを低減できます これらの対策を組み合わせることでインシデントの発生を未然に防ぐことが可能になります このインシデントから学ぶべき教訓はどういったものがあるのでしょうか はい このインシデントから得られる教訓はシステムの脆弱性を軽視してはいけないということです 特にSQLインジェクションのような攻撃は適切な対策を講じていない場合 非常に簡単に成功してしまいます またインシデントが発生した際の迅速な対応が重要であることも示されています 発見から対応までの時間が短ければ短いほど被害を最小限に抑えることができます したがって常にセキュリティ意識を持ち定期的な見直しを行うことが必要です 今回のようなインシデントが発生した場合まず何をすべきなのでしょうか はい インシデントが発生した場合まずは状況を把握することが重要です 具体的にはどのシステムが影響を受けているのか どのようなデータが改ざんされたのかを確認します その後システムを一時的に停止し さらなる被害を防ぐための措置を講じる必要があります 次に専門のセキュリティチームに連絡し調査を依頼します 調査結果に基づいて必要な修正や対策を実施し 再発防止策を講じることが求められます このインシデントが業界全体に与える影響はどのようなものがありますか はい このインシデントは業界全体に対してセキュリティの重要性を再認識させるきっかけとなります 特に医療や製薬業界は個人情報や機密情報を扱うため セキュリティ対策がより一層重要です このような攻撃が発生することで他の組織も自らのセキュリティ体制を見直す必要性を感じるでしょう また業界全体での情報共有や協力が促進され セキュリティ対策の強化につながる可能性があります なるほど 今回の放送を通じてSQLインジェクション攻撃の実態やその影響 そして対策について学ぶことができました 特に脆弱性診断や迅速な対応の重要性が印象に残りました また一つ勉強になりました # エンディングと今日のまとめ はい、ということでいかがでしたでしょうか。 SQLインジェクションということでですね、その影響がですね、 脆弱性が悪評された場合に、データベースから 情報が漏れるということについては、皆さんイメージがつくと思うんですけども、 僕とかですね、そのペネトレーションテストとか お客さんのシステムに対して疑似攻撃を仕掛けて、 SQLインジェクションが見つかった際のですね、 作業に関するお話なんですけども、 実はですね、そのSQLのですね、ソフトウェアごとにですね、 例えばPostgresとかSQLサーバーですとか、それごとに情報を 抜き取るだけではなくてですね、例えばコマンドが 実行できたりですとか、あとはそのサーバーをですね、 システム自体をコントロールできたりですとか、他のですね、 その情報類以外の操作ができる場合があります。 これすごく注意が必要だと思っていて、何かというと、 情報が入っていないから、このデータベース、セキュリティ対策しなくて いいよねっていうのは結構あるんですよね。放置されている状態であると。 その放置されたデータベースから、 SQLインジェクションなどを使ってですね、そのサーバー自体を乗っ取ってしまうと。 当然サーバーはですね、しっかり使われているものですので、 被害に遭ってしまうというケースがあります。 ですので、情報が入っていなくても、データベースのセキュリティ対策、 ぜひ行っていただければと思います。 今日の10分セキュリティラジオは、月曜から金曜の朝7時15分に配信しております。 そして、わからないことは今すぐ聞こう。 何でも聞けるセキュラジ製作室は、水曜夜8時から絶賛生放送中です。 さらに土曜日は、セキュラジAI民社のまとめチャンネルを放送しております。 ぜひこちらも聞いてみてください。 それではまた次回のレビュー配信でお会いしましょう。 セキュリティジョッキーの松野でした。See you!