# オープニング #家を手放すとき どうもー!セキュリティジョッキーの松野です。 5社のセキュリティ企業を立ち上げて、300人以上のセキュリティ人材を配置した 屈指のセキュリティ企業家である私松野が、東京都関連のセキュリティ組織で働きつつ、 サイバーセキュリティの最新ニュースについて解説しております。 ということでね、今日は家を手放す時に関する話なんですけども、 そうですね、僕自身はですね、ずっと賃貸暮らしでして、理由はですね、仕事が てんてんとしてるわけじゃないんですけども、その都合でですね、住む場所は流動的にしておきたいなというところがあります。 時には東京、時には宮崎みたいな感じでですね、機動的であった方が都合が良いということになります。 どうしても、家を購入してしまうと、その場所に縛り付けられてしまうということがありがちということですね。 この家を手放す時という言葉を、家をですね、ちょっと抽象概念に置き換えてみると深いなと思っておりまして、 家、自分の居場所みたいな感じですよね。そうすると僕自身、ちょうど1年前までですね、10年間自分の立ち上げた会社の社長を勤めておりまして、 そこを退任することになったわけなんですけども、ある意味自分の家みたいなもんだったわけですよね。 それを手放すことになったということになります。その時というのは、次への稼働でというかですね、出発とある意味セットだなと思っています。 それが望まれたものか否かは別としてですね、その新たな旅路に出るわけですので、その先でですね、また仲間とですね、いつか会えたらいいなというふうに思っています。 ということで、今回はポータルサイトで発生した不正アクセスについて取り上げております。 この放送を通じてリスナーの皆さんは、他社の情報漏洩を悪用したリスト型攻撃と、より安全な認証方法について理解を深めていただければと思います。 それではどうぞ # Pep Up への不正アクセス、リスト攻撃とメールアドレスに生年月日記載でメールによる 2 段階認証突破された侵害事例 テップアップへの不正アクセス、リスト攻撃とメールアドレスに青年がって記載で、メールによる2段階認証突破された侵害事例。 地方職員教材組合は11月28日、地方職員教材組合の組合員及び被扶養者が利用可能な健康情報ポータルサイトテップアップへの不正アクセスについて発表した。 こちらの記事を簡単に解説お願いできますでしょうか。 はい。この事例は、ある教材組合が提供する健康情報ポータルサイトテップアップで発生しました。 他社から漏洩したIDとパスワードを使ったリスト攻撃により、まずユーザーのメールアカウントが乗っ取られたと推測されています。 さらに、そのメールアドレスに青年月日が含まれていたため、個人情報が悪用されました。 この組み合わせによって、メールによる二段階認証が突破され、ユーザーのポイントが不正に交換されたインシデントです。 サービス提供会社は、メールの二段階認証では認証キーが暗号化されずに送られるリスクがあるため、Google認証アプリなど、より強固な認証方法への切り替えを推奨しています。 今回出てきたリスト攻撃とは、どのようなものなのですか? はい。リスト攻撃とは、他社サービスなどから漏洩したIDとパスワードのリストを使い、別のサイトやサービスへのログインを試みる攻撃のことです。 多くの方が複数のサービスで同じIDとパスワードを使い回しているため、一つの情報漏洩が他のサービスへの不正アクセスの足掛かりとなるリスクがあります。 今回の事例でも、メールアカウントがリスト攻撃の標的となり、そこから次の段階へ進んでしまいました。 メールアドレスに青年月日が含まれていると、なぜ問題になるのでしょうか? はい。メールアドレスに青年月日などの個人情報が含まれていると、攻撃者はその情報を使って本人確認を突破したり、他の個人情報と紐付けやすくなります。 例えば、この事例では、メールアカウントが乗っ取られた際に、メールアドレス内の青年月日が不正アクセスの手助けとなり、2段階認証を突破する材料として悪用された可能性が指摘されています。 安易な情報を含まないメールアドレスの使用が大切です。 メールによる2段階認証は、今回の事例のように突破されることがあるのですね。なぜでしょうか? はい。メールによる2段階認証は、認証キーがメールで送られます。 このメールが、乗っ取られたメールアカウントに届くため、攻撃者はその認証キーを直接見てしまうことができます。 また、メールの通信経路で認証キーが防止されるリスクもゼロではありません。 そのため、メールアカウント自体が侵害されると、2段階認証の意味をなさなくなってしまうのです。 より安全な方法を検討する必要があります。 では、サービス提供会社が推奨しているGoogle認証アプリによる2段階認証とは、どのような仕組みなのですか? はい。Google認証アプリなどによる2段階認証は、 時間ごとに使い捨ての認証コードを生成するアプリをスマートフォンにインストールして利用します。 このコードは、ネットワークを介して送られるのではなく、 アプリ内で独立して生成されるため、メールのように乗っ取られたアカウントに届いたり、 通信経路上で防止されたりするリスクが格段に低くなります。 より強固なセキュリティを提供できるため推奨されています。 私たちユーザーが、このような不正アクセスから身を守るためにできる対策は何でしょうか? はい。まず最も重要なのは、パスワードの使い回しをやめることです。 各サービスで異なる、複雑なパスワードを設定しましょう。 そして、2段階認証を設定する際は、メールではなく、 Google認証アプリのような時間ベースのワンタイムパスワードを利用する方式を選ぶことを強くお勧めします。 また、身に覚えのないログイン通知などにはすぐに反応し、 利用しているサービスのセキュリティ情報を定期的に確認することも大切です。 なるほど。今回のセキュラジでは、健康情報ポータルサイトでの不正アクセス事例を学びました。 リスト攻撃やメールアドレスの個人情報、メールによる2段階認証の脆弱性が重なり、 被害が発生、パスワードの使い回しをやめ、より強固な2段階認証を選ぶ重要性を再認識しました。 また一つ勉強になりました。 # エンディングと今日のまとめ はい、ということでいかがでしたでしょうか。 今回はですね、ウェブサイトで発生したリスト攻撃と、 リスト型攻撃とも言いますけれども、 こちらについてお届けしたわけなんですけれども、 特徴的なのはですね、メールアドレスに 誕生日が含まれるということでした。 なぜ誕生日かというとですね、これはおそらく数字4桁が 含まれていたんじゃないかなというふうに思っています。 0410で4月10日と、これ大原さんの誕生日なんですけれども、 こういった数字が含まれていると、 誕生日であろうというふうに攻撃者が判断して、 その情報が攻撃に使われるということになるわけなんですけれども、 じゃあ何に使うかということですね。例えばその本人確認において、 誕生日が生かれることがありますので、 そういった本人確認において、その数字をですね、 誕生日として使うと、こういったことが考えられます。 あとはですね、その数字自体がですね、 パスワードで使われていないかということですね。 例えば前半の文字列は名前の一部であったり、 その後半にですね、その誕生日が数字として繋がっていくと。 前半はですね、文字列はサービス例だったりということも あるかもしれません。後半がその数字であるということで、 今ドキッと押された方はですね、 ぜひパスワードの変更を検討していただければと思います。 今日の10分セキュリティラジオは、 月曜から金曜の朝7時15分に配信しております。 そして、わからないことは今すぐ聞こう。 何でも聞けるセキュラジー製作室は、水曜夜8時から絶賛生放送中です。 さらに土曜日はセキュラジーAIミーシアの まとめチャンネルを放送しております。 ぜひこちらも聞いてみてください。 それではまた次回のレギュラー配信でお会いしましょう。 セキュリティショッキーの松野でした。 See you!