# オープニング #2017年の私 どうもー セキュリティ局記の松野です。6回目のセキュリティ会社起業を目指して サイバーセキュリティの最新ニュースについて解説しております。ということでね 今日は2017年の私に関する話したんですけども 2016年はですね 前職の会社を起業した年ですので鮮明に覚えているんですけども その2017年以降がですね 記憶が曖昧というかですね あまりこう思い出せなくてですね どうしようかなと思ってたんですけども スマホにですねその年の写真が保存されていましたのでそれを見ながらですね 当時の記憶を思い出しています この2017年はですね 1年前に立ち上げた会社をまさに成長させる 1年だったなというふうに思っていまして 日付が1月4日ですね まさに仕事始めの初日ということだったんですけれども その日にですね一つの島に10人ぐらいが座っている写真ですね 本当懐かしいんですけども この写真が最初にあるんですけども その数ヶ月単位でですね 引っ越しの写真が保存されていまして どんどん島数が増えていったりですとか あとはこれそうですね 別の東京以外のですね場所だと思うんですけども 札幌だったりあとは福岡ですね 懐かしいですねベトナムもあのオフィスを開いていました あとはですね宮崎に大きな子会社をですね 作ることができまして本当にですね1年を通じて 一気にですね仲間が増えた そんな時期だったなというのを今思い出しています でおそらくですねスタートアップとしては本当に一番楽しい時期 だったんじゃないかなと思うんですよね あの最初の1年は本当にこの先続けられるのかみたいな とても不安定な時期だったと思うんですけども それがあの徐々にですね軌道に乗ってきて想定通りのですね パフォーマンスが出てくると そしてこう規模拡大っていうのを実現していけるというですね 本当に一番楽しい時期だったんじゃないかなというふうに思っています であのその中でですね 徐々に自分のできることやれることが大きくなっていくみたいな そんな輝ける未来を見てですね仲間と一緒に手を取り合って切磋琢磨していた時期なんじゃないかなというふうに今思い出しております ということで今回は データ分析ツールへの不正アクセスにより約6万件もの個人情報が漏えいしてしまった インシデントについて取り上げております この放送通知でリスターの皆さんはシステムの脆弱性管理の重要性と インシデント発生時の適切な対応手順について理解を深めていただければと思います それではどうぞ # JGC Digital が利用する BI ツール「Metabase」に不正アクセス、約 6 万件の情報が取得されたことを確認 JGCデジタルが利用するBIツール、メタベースに不正アクセス、 約6万件の情報が取得されたことを確認。 JGCデジタル株式会社は9月18日、 同社がデータの集計・分析を目的として利用していた BIツール、メタベースへの不正アクセスについて発表した。 こちらの記事を簡単に解説お願いできますでしょうか。 はい。今回の事件は、あるデジタルサービス企業が データの集計や分析のために利用していた BIツールへの不正アクセスに関するものです。 原因は、利用していたソフトウェアであるメタベースに存在していた セキュリティ上の脆弱性を悪用されたことでした。 初動対応として、9月16日にシステムで異常を検知した当日に 不正アクセスの経路を遮断し、被害の拡大を防いでいます。 しかし、建設現場向けサービスや衣類回収サービスに登録されていた 約6万件のアカウント情報が第三者に取得されてしまいました。 再発防止策として、同社はこのツールの利用を終了し、 よりセキュリティ水準の高い環境への移行と利用ポリシーの厳格化を進めるとのことです。 まず、記事に出てくるBIツールやメタベースとはどのようなものですか? はい。BIツールというのは、企業が蓄積している膨大なデータを集計して、 グラフや表などに分かりやすく可視化するためのソフトウェアのことです。 ビジネスの意思決定を助けるために、多くの企業で導入されています。 そして、今回名前が挙がっているメタベースはオープンソースで提供されていて、 無料で手軽に始められることから非常に人気のあるBIツールの一つです。 手軽に導入できる反面、システムのアップデートやセキュリティ対策は、 利用者自身が責任を持って管理する必要があるため、適切な運用が求められます。 そのツールにあった脆弱性が狙われたとのことですが、どのように異常を検知したのでしょうか? はい。具体的な検知の仕組みは公表されていませんが、一般的にこうした異常は、 サーバーの動作を記録したログの監視やセキュリティ専門の監視システムによって見つかります。 例えば、深夜など普段は誰もアクセスしない時間帯に大量のデータがダウンロードされたり、 見慣れない海外のIPアドレスからの通信があったりすると、システムが異常として警告を出します。 今回の企業も9月16日にそうした不審な動きを早期に捉え、 すぐさま調査に乗り出したことで、当日のうちに不正な通信経路を遮断できたのと考えられます。 9月16日に異常を検知して、9月18日に発表していますね。 この対応の速さはどう評価されますか? はい。異常を検知してからわずか2日後に第一報を発表している点は、 非常に迅速で適切な対応だと評価できます。 インシデントが発生した際、状況が完全に把握できていない段階でも、 まずは分かっている範囲で被害の可能性を公表することが、被害拡大を防ぐために重要です。 顧客に対して早い段階で注意喚起を行うことで、 二次被害のリスクを大幅に下げることができます。 情報を隠さずに誠実な対応をとることは、 企業の社会的な信頼を維持する上でも不可欠な姿勢といえます。 再発防止策としてそのツールの利用を終了するとありましたが、 これは根本的な対策になりますか? はい。今回は利用していたソフトウェアそのものの脆弱性が原因だったため、 利用を停止して別の安全なシステムに移行することは、非常に強力で確実な根本的対策といえます。 ただ、脆弱性を修正するプログラムを適用するだけでなく、 ツール自体を見直すという決断をした点に、セキュリティを最優先する姿勢が伺えます。 加えて、利用ポリシーを厳格化することで、 今後新しいツールを導入する際の審査基準なども厳しくなり、 もしくは全体のセキュリティレベルを底上げすることにつながるはずです。 今回のインシデントから、私たちが学んでおくべき長期的な教訓は何でしょうか? はい。一番の教訓は、自社で利用しているソフトウェアの脆弱性管理を徹底することの重要性です。 特にオープンソースのツールは非常に便利ですが、常に最新のセキュリティ情報に目を配り、 更新プログラムが公開されたらすぐに体制を整えておく必要があります。 また、どれだけ対策をしていても侵入される可能性をゼロにはできないため、 異常をすぐに検知できる監視体制と、 被害を最小限に食い止めるための迅速な対応手順をあらかじめ準備しておくことが何より大切です。 なるほど。便利なツールを使う裏側には、 自分たちでシステムの安全を守るための徹底した管理が必要不可欠だということですね。 異常を見つけたときの素早い対応と、隠さずに誠実な情報公開を行う姿勢も非常に参考になりました。 私たちの会社のシステム運用も改めて見直す良いきっかけになりそうです。 また一つ勉強になりました。 # エンディングと今日のまとめ はい、ということでいかがでしたでしょうか。 今回はですね、データ分析ツールへの不正アクセスということでですね、 個人情報が大量に漏洩してしまったということです。 自社サービス、クラウドサービス問わずですね、 様々な環境で個人情報が漏洩してしまっているということなんですけれども、 先週末のですね、放送でその原因や背景について踏み込んで解説をさせていただいておりますので、 ご興味のある方はですね、ぜひ聞いていただければと思います。 今日はですね、このような状況においてどのように対策をしたらいいのかについてですね、 しっかりと解説できればと思っているんですけども、 まずですね、その理解しなければいけないことはですね、 何が変わって、何が変わっていないかということだと思っています。 変わっていることはですね、もちろんAIを使ってサイバー攻撃が行われているということです。 先週末もお話しさせていただきましたが、 オープンウェイトのモデルがですね、現実的に攻撃者の手元で動かせる。 そんな条件が揃ったのが9月末であるということになります。 その上でですね、変わっていないことは何かということですね、 それは放置された脆弱性が悪用されているということです。 今までであればですね、その脆弱性が放置されていても、 それが現実的に悪用されるというのは、一定の時間を経てであったり、 なかなかそのような状況にならなかったということも、 現実問題としてですね、あったかもしれません。 それがですね、AIによって高速にかつ正確にですね、 悪用されるようになってきたのが現状であります。 つまり、過去と比較して対策で変えなければいけないことは、 脆弱性対応に関するスピードですね。 この現状に関して正しく理解をしていただければと思います。 今日の10分セキュリティラジオは、月曜から土曜に祝日も休まず配信しております。 それではまた明日の配信でお会いしましょう。 セキュリティジョッキーの松野でした。See you.