# オープニング #ボーナスの賢い使い道 どうもー。セキュリティチェックキーの松本です。 6回目のセキュリティ会社企業を目指して、サイバーセキュリティの最新ニュースについて解説しております。 ということでね。今日は、ボーナスの賢い使い道に関する話なんですけども そうですね。僕自身はもうどれぐらいですかね。十数年、もっとかな。 ボーナスというものをですね、もらったことがありませんでして、それはその会社の制度だったり、あとはですね、 取締役だったり社長だったりするとですね、 基本的にそのボーナスとか所要ってないんですね。決められた ご提供でやらさせていただくというところがありますので、 羨ましいなとシンプルに思うわけなんですけども ある意味ですね、ちょっとまとまったお金が月給以外に入ってくるということですので、そうですね。 ちょっと非日常的なことにですね、使ってみてはいかがかなというふうに思っています。 それがですね、何か物を買ったり、食事をしたり、旅行に行ったりですね。 これ自体は何でもいいかなというふうに思っています。 基本的に、僕らは体験からの何かを感じて、それが未来の財産につながっていくというところがあると思っていますので、 やっぱり日常的な体験の中ではですね、なかなか得がたいもの、非日常からですね、そういった新しい築きみたいなものが得られるのかもしれません。 そういった意味ではですね、臨時収入ではないと思うんですけども、そういった普段の月給とはまとまったお金が入ったということであればですね、 そういった非日常に使ってみてはいかがかなと思っています。 これはボーナスに限らずかもしれないんですけども、お金って 使わなければですね、ただの数字なんですよね。 それ自体はですね、精神的な安定にはつながるんですけども、本当の価値にはならないわけですね。 やっぱりお金って使って初めてその価値を見出すことができるというところがあります。 ですから、ボーナスもですね、ぜひ皆さんが心からですね、価値があったと感じられるような使い方をしていただければと思います。 ということで、今回はクラウドストレージの設定ミスによって個人情報が外部から見られる状態になっていたというインシデントについて取り上げております。 この放送を通じてリスナーの皆さんは、クラウドサービスを安全に運用するためのポイントや企業が最低限確認すべきセキュリティ対策について理解を深めていただければと思います。 それではどうぞ。 # Amazon S3 設定不備 ～ 電子チェックインシステム「Tabiq」で 1,060,338 人分の本人確認書類画像がアクセス可能に Amazon S3設定不備、電子チェックインシステムTabicで106万338人分の本人確認書類画像がアクセス可能に 株式会社リクリエは、提供する電子チェックインシステムTabicで利用しているクラウドストレージ Amazon S3に設定不備があり、約106万人分の本人確認書類画像などが 第三者からアクセス可能な状態になっていたことを発表した。 こちらの記事を簡単に解説お願いできますでしょうか。 はい、あるシステム開発会社が提供する電子チェックインシステムにおいて、 利用者の顔写真やパスポートなどの本人確認書類を保存していたクラウドストレージに設定の不備があり、 外部からアクセスできる状態になっていたという事案です。 原因はストレージに対するアクセス権限の設定を誤っていたことでした。 対象となる期間は2020年1月20日から2026年5月14日までの長期にわたり、該当データは約106万件に上ります。 会社側は5月14日に通信を遮断する初動対応を完了させ、 再発防止策として権限設定の厳格化や監視体制の強化、運用ルールの見直しを進めると発表しています。 今回原因となったクラウドストレージのAmazon S3とは、そもそもどのようなサービスなのでしょうか。 はい、Amazon S3はインターネットを通じてデータを保存したり取り出したりできる、とても便利で強力なクラウド上のデータ保管庫です。 サーバーを自社で用意しなくても必要な分だけを安価に利用できるため、画像の保存先として広く普及しています。 しかしその手軽さゆえに、誰がどのデータにアクセスできるかという権限の設定を誤ると、 今回のようにインターネット経由で誰からでもデータが見えてしまうという危険性も持っているサービスといえます。 その権限の設定不備というのは、具体的にどのようなミスが起きやすいのでしょうか。 はい、最も多いのは開発中のテスト環境で作業をスムーズに進めるために、 一時的にアクセス制限を緩めておき、そのまま本番環境として公開してしまうというミスです。 またクラウドサービス自体が非常に多機能で複雑なため、 複数の設定項目が矛盾して意図せず公開状態になってしまうこともあります。 専門の知識を持ったエンジニアであっても、目視の確認だけでは気づきにくい細かな設定ミスが、 大規模な情報漏洩に直結してしまうのが恐ろしいところです。 今回のインシデントでは、どのようにして異常に気がついたのか教えていただけますか。 はい。一般的にこのような設定の不備は、外部のセキュリティ研究者からの通報で発覚したり、 不審なアクセス履歴を社内のシステムが検知したりして発覚することが多いです。 今回の事例で具体的な発見の経緯は明言されていませんが、 5月13日にアクセス可能な状態であることが判明し、 翌日の5月14日には外部からの通信を遮断するという迅速な対応を取っています。 しかし長期間にわたって設定の誤りに気づくことができなかったという監視体制の課題は残されています。 今後同じようなミスを防ぐために、企業はどのような根本的対策を取ればよいのでしょうか。 はい。人が手作業で設定を行う以上、ミスを完全になくすことは難しいため、 システムによって自動的にミスを検知する仕組みを導入することが重要です。 今回の再発防止策にもあるように、CSPMと呼ばれるクラウド設定診断ツールを活用すると、 セキュリティ基準を満たしていない危険な設定を自動で洗い出してくれます。 また、誰にどのような権限を与えるかという設計を見直し、 必要最小限の権限しか与えないという原則を徹底することも非常に有効な根本対策となります。 もし自分の情報が含まれていた場合、どのような被害や今後の教訓が考えられるのでしょうか。 はい。パスポートや運転免許証といった非常に機微な本人確認書類の画像が含まれているため、 万が一悪意のある第三者の手に渡っていれば、 なりすましによる各種サービスの不正契約などに悪用される恐れがあります。 幸いなことに、第三者機関による詳細な調査の結果、 これまでにデータが不正に取得されたり悪用されたりした二次被害は確認されていません。 企業側は対象者へ個別の通知を進めており、 情報を預かる責任の重さが改めて問われる教訓となりました。 なるほど。クラウドサービスは業務を効率化してとれてとても便利ですが、 設定を一つ間違えるだけで100万人規模の大きな事故につながるということがよくわかりました。 便利な道具だからこそ、正しい知識を持つことと安全を自動でチェックする仕組みが不可欠なのですね。 また一つ勉強になりました。 # エンディングと今日のまとめ はい、ということでいかがでしたでしょうか。 今回はですね、クラウドストレージの設定ミスによって 個人情報が漏えいした可能性があるということでした。 Amazon S3ということでですね、広くこういったストレージサービスとしては 使われているものかなと思っています。 僕自身もですね、個人用途でありますが、S3は使っていまして、 その内容によってですね、アクセス権限の設定は十分気をつけている というところなんですけども、 どうですかね、最近はこういったインフラ寄りのですね、 サービスについても、その設定をですね、AIに委ねていくってことが 多くなってきたんじゃないかなと思っています。 そんな時にですね、これまた用途にもよると思うんですけども、 そのプロンプトでですね、アクセスができない際にですね、 ちゃんとアクセスできるように設定してよ、みたいな感じですね。 こうプロンプトを打ってみるとですね、AIは無邪気にですね、 じゃあパブリックブロックアクセスをオフにしましょう、みたいなですね、 ちょっと危険な設定をですね、進めてくるかもしれません。 こういったAIはですね、よく言われます、その責任感はないというところですね。 それによってもたらされる影響を、場合によっては確認しないと、 その勘が見ないというところがあるかもしれません。 その結果ですね、確かにそのユーザーのですね、希望には応えていくんだけれども、 その先に待っているリスクだったり、影響については考えないと、 こういうことが場合によってはあるというところですね。 どうですかね、最近僕自身も感じているのは、その辺りのセキュリティだったり、 リスクに対する懸念についてもですね、AIはよく考えるようになりました。 ただこれもですね、AI究極的には優秀な人間に置き換えられていくというふうに 思っていまして、だんだんですね、何も言わなくてもそのリスクについてもしっかりと 提示してくれるようになりました。僕の仕事もそろそろですね、 お払い箱かなというところも常に感じているわけなんですけども、 さらにとって人間と同じということを申し上げました。AIもですね、常にそういったリスクについて 提示してくれるわけではありません。 そういったところで、最終的にはですね、脆弱性診断などを行って、そのリスクを統合的に、 総合的にですね、見ていただくことをお勧めいたします。 今日の10分セキュリティラジオは、月曜から土曜に、祝日も休まず配信しております。 それではまた明日の配信でお会いしましょう。 セキュリティジョッキーの松野でした。See you!