# オープニング #スマホ疲れの解消法 どうもー セキュリティジョッキーの松野です。6回目のセキュリティ会社企業を目指して サイバーセキュリティの最新ニュースについて解説しております。 っていうことですね。今日はスマホ疲れの解消法に関する話なんですけども たびたびですね、僕のスマホの設定状況についてですね 関ラジでお話しさせていただいているかと思うんですけども 基本的にですね、通知はすべてオフにしています。ミュート状態ですね。 ですからそのLINEが入ってもですね 電話が入ってもですね、何もならないという状況です。 それでですね、スマホの役割果たしているかというような議論はあるかと思うんですけども 基本的にはですね、その電話帳に登録されている方 もしくはですね、セキュリティ関連のアラートですね これはお客さんのシステムから飛んできますので、24時間対応できる状態にしていると。 これ以外はですね、一切スマホは反応いたしません。 結果ですね、特にスマホに疲れさせられることは 現状なくてですね、それに関しては自分自身も満足しているんですけども 逆に言えばですね、この通知音ですよね。結局それで皆さんどうでしょう? 疲れてしまっているところもあるんじゃないかなというふうに思っています。 そういった意味ではですね、あまりお勧めはできないんですけども ちょっとね、いろんな弊害はある中でもですね 最近ちょっとスマホに疲れたなというふうに感じていらっしゃる方は 一度ですね、このミュートの設定ですね オンにしていただいて、2、3日ですね、過ごしていただくと もしかしたらですね、スマホ疲れが少し解消されるかもしれません。 でもそんな僕でもですね、実際にその最近目が悪くなったなぁというのをですね 実感することがあります。 能動的にですね、そのスマホで調べ物をしていてですね、 ちょっとこうトークを見たりとかするとですね、ほとんどぼやけて見えないんですね。 年のせいもあるとは思うんですけども、そういったところではですね 通知をオフにするだけではなくて、物理的な隔離ですね。 アラート対応でもしておりますけども、そういった隔離もですね もしかしたら僕自身必要になっているのかもしれません。 ということで今回は、オンラインショップで発生した 不審な認証画面が表示されるというインシデントについて取り上げております。 この放送を通じてリスナーの皆さんは、 地下で管理していない外部コードを利用する際のリスクや 迅速な初動対応の重要性、そしてサイトを安全に保つための具体的な対策について 理解を深めていただければと思います。 それではどうぞ。 # 「SUBARUオンラインショップ」で不審な認証画面の表示 スバルオンラインショップで不審な認証画面の表示 株式会社スバルは6月4日、同社が運営するスバルオンラインショップでの不審な認証画面の表示について発表した。 こちらの記事を簡単に解説をお願いできますでしょうか。 はい。今回のインシデントは、ある自動車メーカーが6月5日に発表したもので、 同社が運営する公式オンラインショップの一部ページにおいて、正規のものではない不審な認証画面が表示される可能性があるという内容です。 原因は、このウェブサイトで利用していた外部サービスであるPolyfill.ioに関連していました。 運営会社は、事象を確認後、直ちにこの外部サービスの利用を停止し、システムからの削除対応を完了させています。 現時点で、サイトへの直接的な不正アクセスや情報漏洩は確認されていませんが、 運営会社は、不審な画面にIDやパスワードを入力してしまった可能性がある顧客に対し、パスワードの変更を呼びかけています。 また、今後の再発防止策として、外部サービスの利用状況を含めた確認と管理を行い、安全なサイト運営に努めるとのことです。 原因となったPolyfill.ioという外部サービスは、そもそもどのようなものなのでしょうか? はい。Polyfill.ioは、古いブラウザでも最新のウェブ技術を使えるようにするための非常に便利な外部プログラムです。 多くのウェブサイト製作者が様々な環境のユーザーにサイトを正しく表示させるために、このサービスを無料で読み込んで利用していました。 しかし、このサービスの運営元が最近変わったことで、配信されるプログラムの中に悪意のあるコードが混入するようになってしまったのです。 これにより、世界中の多くのサイトで意図しない画面が表示される影響が出ました。 自社のシステムが直接攻撃されたわけではなく、外部のプログラムが原因だったということですね。 はい、おっしゃる通りです。これはサプライチェーン攻撃の一種ともいえます。 自社のシステムをどれほど強固に守っていても、今回のようにウェブサイトに数行のコードを追加して読み込んでいるだけの外部サービスが改ざんされると、その影響を直接受けてしまいます。 ユーザーから見れば、そのメーカーのサイト上で起きている出来事ですので、企業の信頼に関わります。 現代のウェブサイト開発では外部コードの利用が一般的なので、その管理が非常に重要になっています。 今回のインシデントは、企業側はどのようにして異常に気づくことができるのでしょうか? はい、このような外部コードの改ざんによる異常は、企業側が自発的に気づくのが難しいケースも少なくありません。 一般的には、サイトを訪問した顧客からの問い合わせや、セキュリティ専門機関からの注意喚起によって発覚することが多いです。 最近では、ウェブサイトの改ざんを自動で検知するセキュリティツールを導入し、意図しない外部への通信が発生した際にアラートを出す仕組みを取り入れる企業も増えています。 日頃からの監視が早期発見の鍵となります。 情報漏洩が確認されていない段階で、わざわざ発表を行ったのはなぜだと思いますか? はい、被害の拡大を未然に防ぐためです。 情報漏洩が確定していなくても、不審な画面にIDやパスワードを入力してしまったユーザーがいる可能性があります。 もしそのユーザーが他のウェブサイトでも同じパスワードを使い回していた場合、二次被害につながる恐れがあります。 そのため、速やかに事実を公表してパスワードの変更を促すことが、ユーザーを保護する誠実な対応となります。 早い段階での透明性のある情報公開は、企業の信頼維持にもつながります。 サイトを運営するIT担当者が今後気をつけるべき根本的な対策は何でしょうか? はい。まずは自社のウェブサイトでどのような外部プログラムを読み込んでいるのか、すべてリストアップして正確に把握することが第一歩です。 そして、利用中のサービスが信頼できる提供元のものか、定期的に見直す必要があります。 また、不要になったプログラムは放置せずに必ず削除することも大切です。 リスクを低減させるため、外部のコードを直接読み込むのではなく、安全性を確認したうれで自社のサーバーに配置して利用する方法に切り替えることも有効な対策です。 なるほど。自社のセキュリティ対策だけではなく、サイトに組み込んでいる外部サービスの管理にまで気を配ることが安全な運営には欠かせないのですね。 早い段階での情報公開もユーザーを守るために大切だとよくわかりました。 自社のウェブサイトに不要なプログラムが残っていないか早速確認してみようと思います。また一つ勉強になりました。 # エンディングと今日のまとめ はい、ということでいかがでしたでしょうか。 今回は不審な認証画面がオンラインショップ上で 表示されるというインシデントでした。 原因としては、外部のコードを読み込んでいたということで、 そのコードが置き換えられたのではないかというふうに言われております。 その認証画面はオンラインショップが提供するものではないということで、 入力する情報が第三者に接種される可能性があるということになるわけで、 インシデントとされております。 こういった外部のコードだったり、あとは外部のサービスとかを 自社のウェブサイトに連携させて運用しているケースですね。 本当に多くなってきていると思います。 むしろ多数派と言っても過言ではないですよね。 よく訪問者の情報を分析するために、アナリティクスとか こういったものを入れているケースが多いと思うんですけども、 他にもそういった認証画面であったり、他にも決済だったりとか、 さまざまなものを自社ではなくて外部のサービスを利用する。 こういったケースが逆に一般的なのかなと思っています。 そういった状況の中で、当然ながら外部のサービスがサイバー攻撃を受けた場合は、 自社のウェブサイトも影響を受けるということになりますので、 ある意味、委託先のような管理が、そういった利用する 外部サービスに対しては必要になるということになります。 最近、自分もセキュリティの監視をさせていただいていて、 よくアラートとして上がるのが広告系ですね。 広告の表示に関しては、ウェブサイトに必要というよりも、 それによって運用していく上での費用を年出しているというようなケースもあるんじゃないかなと思っています。 そういう意味では、そういった管理がより行き届かないケースもあるんじゃないかなと思っていまして、 その広告に不正な行動が埋め込まれているというケースですね。 こういったところもセキュリティ監視でしっかりと 24時間365日モニタリングしていくことが必要となります。 今日の10分セキュリティラジオは、月曜から土曜に祝日も休まず配信しております。 それではまた明日の配信でお会いしましょう。 セキュリティチョッキーの松野でした。 See you!