# オープニング #衣替え後の収納術 どうもー。セキュリティジョッキーの松野です。 6回目のセキュリティ会社企業を目指して、サイバーセキュリティの最新ニュースについて解説しております。 ということで、今日はコロモガエコの収納術に関する話なんですけども すっかり肌寒い季節になってきておりまして、僕自身もですね、さすがにタンクトップ1枚は見た目含めて寒々してしまうというところがありましたので、ちょうどですね、コロモガエをしていたところなんですけども やっぱりですね、その季節でメインとなる衣服に関しては一番取り出しやすい場所にですね 収納しているかなというふうに思っています。 夏ですとワンツーコーデみたいな、Tシャツにパンツみたいな、そういった 装いがですね、メインになってくると思うんですけども、この季節はですね、いろんなものが着れるという楽しみもありますので、そういった意味ではですね 服選びにですね、どうしても時間がかかっちゃうんじゃないかなというふうに思っています。そういった朝のですね、お忙しい時にでも時間をですね、余計にこう使わないようにというところで、そういった 取り出しやすい場所にですね、メインとなるものを、衣服をですね、持ってくるというのは有効なんじゃないかなというふうに思っています。 とはいえですね、この服をどれを着ようかなというふうにですね、選んでいるこの時間がですね、むしろ豊かだなと思うわけですね。すごく楽しい時間なんじゃないかなとも思っていまして よくですね、同じ服を3セットなり5セットなり用意してですね、服で迷う時間を削減したいと スティーブ・ジョブズがですね、ノームコアというファッションをしておりましてね、よく出てきます Tシャツにジーンズでニューバランスのスニーカーみたいな、もうそれ以外はもう着ないみたいなですね それ自体がファッションみたいな形で確立していたわけなんですけども、そういったことは全然否定しないわけなんですけども その豊かだなと感じられるのはですね、むしろその十分な時間をですね、それほど重要じゃないことにかけられるということ自体なのかなというふうにも思っていまして そういう意味ではですね、僕自身も少し来年の起業だったり、仕事にですね、覆われているなというのは反省も込めてなんですけども もしこういった季節でもありますので、今日は何着ていこうかなということ自体にもですね、十分時間をかけられるそんな生活もいいんじゃないかなというふうに思っております ということで、今回はECサイト構築システムにおいて不正アクセスが発生し、個人データが漏えいした可能性のあるインシデントについて取り上げております この放送を通じて、リスナーの皆さんは脆弱性管理の重要性やインシデント発生時の具体的な対応ステップについて理解を深めていただければと思います それではどうぞ # 「スマレジEC・リピート」「スマレジEC・B2B」に不正アクセス、一部の個人データが閲覧・取得された可能性 スマレジECリピート、スマレジECB2Bに不正アクセス 一部の個人データが閲覧、取得された可能性 株式会社スマレジは9月25日、同社が提供するスマレジECリピート およびスマレジECB2Bへの不正アクセスについて発表した こちらの記事を簡単に解説お願いできますでしょうか はい。今回起きたのは、あるITサービス企業が提供するECサイト向けのシステムにおいて 第三者による不正アクセスが確認されたというインシデントです 原因としては顧客を管理する画面のログイン機能に存在していた脆弱性が悪用されたことでした この企業はシステム上の不審なアクセスを検知してすぐに調査を開始し 影響を受けた可能性のある4社の顧客に対して個別に連絡を行っています 初動対応として9月18日には原因となった脆弱性の修正と本番環境への適用を完了しており 個人情報保護委員会への報告も済ませています 今後はさらなる原因の検証とインシデント対応体制の強化を進めていくとのことです ログイン機能の脆弱性が悪用されたとのことですが具体的にどのような状況だったのでしょうか はいウェブシステムのログイン画面は正規のユーザーであることを確認するための 従常な赤書ですしかしこの確認システムに欠陥 つまり脆弱性があると本来はパスワードを知らない第三者でも特殊な文字列を入力する などの手法で強引にログインできてしまうことがあります 今回はそうしたシステム上の隙を突かれてしまい 管理者しか見ることができないはずの画面に侵入されたと考えられます こうした脆弱性はプログラムの開発段階で予期せの動作を想定しきれていなかった場合に 発生しやすいと言えます そうしたログイン機能の脆弱性を防ぐためには根本的にどのような対策が必要になりますか はい最も効果的な対策はシステムの開発段階からセキュリティを考慮した設計を行う ことですこれをセキュアコーディングと呼びます またシステムを公開する前に専門のエンジニアが悪意のある攻撃者の視点で疑似的な攻撃を 行い 弱点がないかを確認する脆弱性診断を実施することが非常に重要です それに加えて一度公開したシステムであっても新たな脆弱性が発展されることはよくあります ので定期的な診断とソフトウィアを常に最新の状態に保つアップデートの作業が必要不可欠 になります今回は4社が影響を受けたとのことですが どのような情報が流出してしまった可能性があるのですか はい漏洩した可能性のある情報としては ec サイトを利用した顧客の氏名住所電話番号 メールアドレスや購入履歴といった個人情報のほかシステムを管理する方のログイン id や暗号化されたパスワードなどが含まれています さらにワードプレスと呼ばれるウェブサイト作成ツールの設定情報なども含まれていました こうした情報が攻撃者の手に渡ると別のシステムへの不正ログインに悪用されたり 顧客に対して本物になりすませた詐欺メールが送られる二次被害につながる恐れがあります 不審なアクセスを検知してから修正まで完了しているようですがこの企業の初動 対応はどうみますか はいこの企業の初動対応は非常に迅速かつ適切だったと評価できます 不審なアクセスを検知した後すぐに調査を開始し影響範囲を特定し数日以内に脆弱性の修正プログラムを 本番環境に適用しています また不正に配置されたファイルを無効化し個人情報保護委員会への報告や影響を受けた 顧客への個別連絡も速やかに行っています インシデント発生時には被害を最小限に食い止めるためにいかに早く状況を把握して システムの穴を塞ぎ関係者に正確な情報を共有できるかが鍵となります 最後に今回のインシデントから私たちが学べる教訓について教えていただけますでしょうか はいシステムの運用において脆弱性を完全にゼロにすることは非常に困難です そのため万が一侵入された場合でもすぐに異常に気づける仕組みを作っておくことが重要です 今回のようにシステムログやアクセスログを日常的に監視し 不審な動きを早期に検知できたことが被害の拡大を防ぐ大きな要因となりました it 担当者の皆様におかれましても日頃からシステムのログを確認する体制を整えるとともに インシデントが発生した際に誰がどう動くのかという対応手順をあらかじめ準備しておくことが 大切です なるほどシステムの脆弱性を完全になくすことは難しいからこそ 日頃からの監視体制や異常を検知した際の迅速な初動対応が重要になるのですね ログの確認や万が一の対応手順をあらかじめ決めておくことの大切さが今回の解説で よく理解できましたまた一つ勉強になりました # エンディングと今日のまとめ はい、ということでいかがでしたでしょうか。 今回はですね、ECサイトの構築システムで発生した 不正アクセスということでした。 顧客の管理画面にあった脆弱性が 悪用されてしまったということでですね、 個人データがローエスした 可能性があるということです。 この同じ脆弱性であっても、発見される場所によってですね、 影響だったり、あとはそのリスクがですね、 変わってくるということがありまして、 例えばクロスサイトスクリプティングの場合ですね、 それがログイン前の誰でも使える検索画面で発見されるのか、 それともログイン後のですね、顧客の管理画面で発見されるのかではですね、 圧倒的に後者の方が影響が大きくなる可能性があります。 理由としてはですね、そのクロスサイトスクリプティングの場合は、 その本来アクセスできるユーザーのですね、 権限が乗っ取られてしまう可能性があるということになります。 ですから顧客の管理画面の場合はですね、 より影響が広がる可能性があるということなんですけれども、 脆弱性診断を行う際にですね、どうしてもその対象を絞らなければいけないということがあった場合はですね、 ぜひそういった重要な情報を扱う画面に 集中していただきたいというところが、 こういった理由からもあります。 ご参考になれば幸いです。 今日の10分セキュリティラジオは、月曜から土曜に祝日も休まず配信しております。 それではまた、明日の配信でお会いしましょう。 セキュリティジョッキーの松野でした。 See you!