# オープニング #我が家の育児分担のルール どうもー。セキュリティ直記の松野です。 6回目のセキュリティ会社企業を目指して、サイバーセキュリティの最新ニュースについて解説しております。 ということでね、今日は我が家の育児分担のルールに関する話なんですけども 我が家には子供がおりませんので、分担する育児がないというところではあるわけなんですけども、 その代わりといっては、このセキュラジティも時々登場してしまっております 猫がおりまして、一緒に生活をしているわけなんですけども、 困ったことが実はありまして、もちろんドアを開けてくると、僕がどうもって言っておりますと、 なんだなんだみたいな感じで入ってきて、どうしたどうしたということでニャーニャ鳴いて帰っていくみたいな、そういったことは ちょこちょこあるわけなんですけども、それ以外にもですね、なんていうんですかね、 ちょっとお食事中であれば大変申し訳ないんですけども、部屋にいくつかトイレを用意しておりまして、 それが2、3箇所に置いてあるんですけれども、なんでかですね、そのトイレがないですね、僕の部屋で ちょっと疎走というかですね、必ず同じ場所に置き放していきまして、 ちょっと嫌な予感したんでね、今振り返ってみたらですね、しっかりございました。これをですね、毎朝片付けるのがですね、ある意味僕のですね、 分担されているというか、片付けるのが僕の役割というふうになっておりまして、これがですね、本当に目の前にですね、 普段置いてないんですけども、じゃあ僕の部屋にもトイレを置こうかというので、置いてもですね、全く見向きもせずにですね、毎回その僕のこの スツールって言うんですけど、ちょっと物を入れている箱があるんですけども、その上にきっちりですね、 置き放していかれるというのがございます。なんとかですね、この辺り、育児というかですね、なんて言うんでしょう、しつけですかね、 この辺り何かいい方法があればですね、ぜひ教えていただきたいところではあるわけなんですけども、 電気中に大変申し訳ございません。今一度ですね、こちらはサイバーセキュリティの最新ニュースについて解説をさせていただいております。 ということで今回は、企業のホームページが不正アクセスを受けて改ざんされただけでなく、管理者権限まで奪われてしまったという事例について 取り上げております。この放送を通じてリスナーの皆さんは、自社のウェブサイトを運営する上で、どのようなセキュリティ対策が不可欠なのかについて、 理解を深めていただければと思います。それではどうぞ。 # マネジメントサービスセンターのホームページに不正アクセス、管理者権限の取得や改ざんを確認 マネジメントサービスセンターのホームページに不正アクセス、管理者権限の取得や改ざんを確認。 株式会社マネジメントサービスセンターは、8月25日、同社ホームページへの不正アクセスについて発表した。 こちらの記事を簡単に解説お願いできますでしょうか。 はい。今回起きたのは、あるサービス提供会社の自社ホームページに対する不正アクセスと改ざんのインシデントです。 7月に不正アクセスが確認されたことを受け、同社は直ちにホームページを停止し、外部の専門機関と連携して調査を開始しました。 その結果、第三者によって管理者権限が奪われ、ホームページ内に保存されていた問い合わせフォーム経由の個人情報データ297名分が影響を受けた可能性があることが判明しました。 原因としては、システムの脆弱性や管理者画面のアクセス制御の甘さが考えられます。 同社は現代、ソフトウェアの更新管理の徹底や多要素認証の導入など抜本的な再発防止策を進めています。 ウェブサイトの改ざんや管理者権限の取得はどのようにして検知されることが多いのでしょうか。 はい。一般的には、ウェブサイトの見た目が意図せず変わっていることを社員や外部の利用者が発見して通報するケースが多いです。 また、システム側でファイルの変更履歴を監視するツールを入れておき、不正な書き換えがあった際にアラートが鳴る仕組みで気づくこともあります。 今回のケースでも、まずは改ざんという目に見える異常からインシデントを認知し、その後の詳細な調査によって管理者権限の脱出や個人情報へのアクセスといったより深刻な被害が明らかになったという経緯をたどっています。 再発防止策として挙げられている多要素認証とは具体的にどのような仕組みなのでしょうか。 はい。多要素認証はパスワードのような知っている情報に加えて、スマートフォンに届くワンタイムパスワードのような持っている情報など、異なる種類の要素を組み合わせて本人確認を行う仕組みです。 管理者画面にログインする際、IDとパスワードの入力だけでなく、手元のスマートフォンで承認ボタンを押さないとログインできないように設定します。 これにより、万が一パスワードが外部に漏れてしまったとしても、第三者が不正にログインすることを強力に防ぐことができるため、非常に重要な対策となります。 問い合わすフォームから送られたデータがホームページ内に保存されていたそうですが、これは一般的なのでしょうか。 はい。システムの使用としては珍しくありません。 しかし、セキュリティの観点から見ると、外部からアクセスされやすいウェブサーバー上に個人情報を長期間保存し続けることは非常にリスクが高い状態といえます。 本来であれば、フォームから送信されたデータは、社内の安全なネットワークにある別のデータベースに速やかに転送し、ウェブサーバー上からはすぐに削除するような設計が望ましいです。 今回の事例は、データ管理の在り方を見直す大きなきっかけになると思います。 被害を受けた方々への連絡や情報公開は、どのようなタイミングで行うのが適切なのでしょうか。 はい。インシデント発生時は、正確な情報を把握した上で、可能な限り速やかに公表することが求められます。 今回のケースでは、7月に不正アクセスを確認した後、外部機関を入れて詳細な調査を行い、個人情報への影響が判明した直後の8月24日から個別連絡を開始し、翌日にプレスリリースを出しています。 不確かな情報で混乱を招かないよう慎重に調査を進める機関と、被害の拡大を防ぐための迅速な情報開示のバランスを取ることは、企業にとって非常に難しい判断となります。 今回のインシデントから企業のIT担当者が学べる一番の教訓は何だと思いますか? はい。システムを一度作って終わりにするのではなく、継続的に保守と監視を行うことの重要性です。ソフトウェアの脆弱性は日々新しく発見されるため、定期的なアップデート作業が欠かせません。 また、管理者画面へのアクセス制御や多要素認証といった防御策に加えて、万が一侵入された場合でも被害を最小限に抑えるためのデータ管理の工夫も必要です。 日ごろからセキュリティの基本を徹底し、異常をいち早く検知できる体制を整えておくことが何よりも大切かといえます。 なるほど。ウェブサイトを運用する上では、見えない裏側のシステムを常に最新の状態に保ち、個人情報を安全に扱う仕組み作りが欠かせないのですね。また一つ勉強になりました。 # エンディングと今日のまとめ はい、ということでいかがでしたでしょうか。 今回はですね、ホームページが不正アクセスを受けて、改ざんだけではなくて、管理者権限まで奪われてしまったというインシデントでした。 今回ですね、その起点となったのが改ざんだったのか、管理者権限だったのかというのはですね、読み取れない部分もあったわけなんですけども、 両方ですね、起点となり得るということは事実だというふうに考えています。 もちろんですね、この管理者権限についても、そのウェブサイト、もしくはホームページの管理者なのか、 あとはサーバー全体のですね、管理者なのかというところでもですね、その影響範囲が違ってくるというところもあります。 当然ながらですね、そのサーバー全体のですね、管理者のほうが強い権限となりますので、ホームページだけではなくてですね、 そのサーバー全体がこう乗っ取られてしまう可能性があるということです。 注意しなければいけないのはですね、その逆もしかりというところがありまして、そのホームページ、もしくはそのウェブサイトにですね、 例えばSQLインジェクションですとか、深刻度の高いですね、脆弱性があった場合に、それを利用してそのサーバーのですね、 全体の管理者権限が乗っ取られてしまう、こういったケースも存在します。 ですからそのホームページにですね、例えば個人情報がないですとか、特にですね、重要な情報は保持していないということであってもですね、 そのサーバー全体、他のですね、例えばファイルサーバーですとか、メールサーバーですとか、よくですね、その小規模な組織では様々なサービスを相乗りさせている場合もありますので、 たかがホームページ、されどホームページというところで、セキュリティ対策はしっかりとしていただきますようお願いいたします。 今日の10分セキュリティラジオは月曜から土曜に、祝日も休まず配信しております。 それではまた明日の配信でお会いしましょう。セキュリティジョッキーの松野でした。 See you!