# オープニング #小さな達成感を味わう どうもー セキュリティチョッキーの松野です。6回目のセキュリティ会社企業を目指して サイバーセキュリティの最新ニュースについて解説しております。ということでね、今日は小さな達成感を味わうに関する話なんですけども そうですね。達成感、定期的にないとですね 物事が続かないかなぁなんて思っているわけなんですけども 意外とというとちょっと語弊があるかもしれないんですけども セキュリティのお仕事ですね 僕自身はこの小さな達成感をですね 味わえるんじゃないかなというふうに思っています 例えばですね、その脆弱性診断をしていて 脆弱性を発見した時はですね やったーと。やったーと言うとちょっとお客さんに失礼かもしれないんですけども セキュリティが改善する材料ですね お客さんに提供できるということで、担当者はですね エンジニアはすごく達成感を感じるんじゃないかなと思っています あとセキュリティ監視ですね。これをしていてもアラートがですね ポーンと上がった際にですね、それを一生懸命分析してですね 時間内にちゃんとお客さんに報告できたと。お客さんからですね ありがとうございますというふうにその場で言っていただけるんですよね これまたあの達成感あるんじゃないかなと思っています もちろんですね、その逆にですよ脆弱性が出なかったりとかね あとはどうでしょうね、アラートもなかなかですね そのすぐに分析できるアラートばかりじゃないわけですよね 僕でもですね、やっぱりこうちょっと悩んだりとかして その間にでもですね、やっぱ時間が経過していくことにですね 結構プレッシャーを感じることもあるわけなんですけども、それを乗り越えてですね 得られる達成感というのはやっぱり特別なわけですよね ですからこれは向き不向きあるかもしれないんですけども そういった達成感を感じたいのであれば、ぜひセキュリティ業界にいらしていただければと思います ということで今回は GMO グループが提供するクラウド型のデスクトップサービスで起きた不正アクセスについて取り上げております この放送を通じてリスナーの皆さんは、今回のインシデントで何が起きて 利用者は何をすべきなのかについて理解を深めていただければと思います それではどうぞ # 「お名前.com デスクトップクラウド」に不正アクセス、取引口座のログイン情報等が取得され不正利用された可能性 お名前ドットコムデスクトップクラウドに不正アクセス取引口座のログイン情報等が取得され 不正利用された可能性 gmo インターネット株式会社は10月22日10月21日に公表した お名前ドットコムデスクトップクラウドへの不正アクセスについて第2法を発表した こちらの記事を簡単に解説お願いできますでしょうか はい大手インターネットサービス企業は10月22日10月21日に公表した不正アクセスについて 第2法を発表しました 10月20日に一部顧客のサーバー環境で第三者による不正なプログラムの設置を確認しています 発覚のきっかけは10月19日の顧客からの問い合わせでした 調査の結果サーバー内の取引口座のログイン情報などが取得され不正に利用された 可能性が判明しています 影響の可能性があるのは全プランの26,739件のサーバーです 同社は10月21日午前4時から全プランのサーバーを停止し セキュリティ専門会社と調査を進めています 利用者にはパスワードの変更とログオフを呼びかけています 原因についてはセキュリティ専門会社とともに調査が続いており 再発防止策も今後の発表を待つ状況です 不正なプログラムの設置とはどういうことでしょうか はい攻撃者が利用者のサーバーに本来入っていないはずのプログラムを仕込むことです これにより画面に入力された情報や保存されたファイルを盗み見たり 外部へ送ったりできる場合があります 遠隔操作や情報の接種に使われるプログラムもこの中に含まれます 利用者本人は通常通りに使っているつもりでも気づかないうちに情報が抜かれる点が厄介です 今回はどのようにして設置されたのか原因はまだ明らかになっていません クラウド環境の安全は事業者だけでなく利用者側の管理も欠かせません 事業者と利用者が責任を分け合う考え方です 取引ツールに保存された情報が狙われたのはなぜですか はい金銭に直結するため攻撃者にとって価値が高いからです しかもサーバー上で取引ツールを常時動かしている利用者が多く情報が置かれたままに なりやすい面もあります 記事では証券会社や fx 会社の取引ツールが利用されており 取引講座で不正な操作が行われたとの報告もあります ログイン情報を手に入れれば本人になりすまして売買や出勤を試みることができて しまいます 実際に顧客から不正な操作が行われたとの報告を受けて今回の事態が発覚しています パスワードの変更だけでなくログオフも呼びかけているのはなぜですか はいログインしたままの状態つまりセッションが残っているとパスワードを変えても 攻撃者がそのまま操作を続けられる場合があるからです ログオフでセッションを切断しその上でパスワードを変更することで親友の足掛かりを立てます 順番も大切でパスワードの変更だけを先に行うと残ったセッションが使われる可能性がある ためログオフを先に行うのが安全です その後取引講座の履歴を見て身に覚えのない取引がないかも確認してください サービスの全プランを停止したのはどのような判断でしょうか はい被害の拡大を防ぐための初動対応です 侵入の経路や範囲がまだわからない段階では稼働を続けると 攻撃者が他のサーバーへ手を広げたり証拠が消されたりする恐れもあり さらに多くのサーバーが影響を受けたねません 利用者の不便は大きくなりますが安全の確認を優先した判断といえます ただし停止している間も利用者側での講座の確認やパスワードの変更は早急に行う 必要があります この件から利用者と企業はどんな教訓を得られますか はいクラウド上に重要な認証情報を置く場合は必要最小限に留めることが大切です 保存せず使うたびに入力する運用も有効な対策の一つです 取引講座には多要素認証や取引の通知を設定しパスワードの使い回しもやめて異変に 早く気づけるようにしましょう 不審な取引を見つけたらすぐに証券会社や fx 会社の窓口へ連絡することが重要です 企業側は新入の検知と状況をすぎ当たり伝える体制を整えておく必要があります 第2法という形で状況を段階的に公表している点も利用者が判断する材料になります なるほどクラウド上のサーバーに保存した認証情報が狙われることがあるため パスワードの変更とログオフ そして多要素認証の設定が大切だと分かりました また一つ勉強になりました # エンディングと今日のまとめ はい、ということでいかがでしたでしょうか。 今回はですね、GMOグループで発生した 不正アクセスについてお届けしました。 GMOグループの会社には 日本を代表するセキュリティ企業もありまして、 その会社の社長さんとはもう10年以上の仲なので、 個人的に思うところもあるんですけども、 今回は忖度なしにセキュリティの観点から お話しできればと思っています。 今回、何が本質的な問題だったかを 整理したいと思うんですけども、 結論として、セキュリティ対策で 手段の目的化が発生していること。 これに尽きると思っています。 どういうことかというと、まず事実関係として、 今回被害に遭った企業では、 脆弱性診断は実施していた ということなんですけども、 問題を指摘されていたにもかかわらず、 その脆弱性の修正が十分に 行われていなかったということです。 GMO熊谷社長のコメントを引用させていただくと、 今回問われるべきなのは 脆弱性診断の制度ではなく、 診断結果を実際のリスク低減につなげる 組織的な是正管理が機能していたかという点です。 これはその通りだと思っていて、 手段である脆弱性診断をやることが 目的化してしまっていて、 本当のゴールである修正が 十分に行われていなかったことになります。 これはGMOに限らず、さまざまな組織で 発生している問題だと思っていて、 年に1回の脆弱性診断が ルールになっているのでやりました、 終わっているケースを 自分は何度も目にしてきました。 これはセキュリティ対策をやることだけで 満足している企業もそうなんですけれども、 その手段を提供するだけで 自らの役割を果たしていると思っている セキュリティベンダー側にも 課題があるのではないかと、 次回の年を込めて整理しているところです。 この辺りは口だけだとカッコ悪いので、 6回目の企業では結果で示したいと思っています。 被害者の方々が救われるよう、 インシデント対応に関わる皆さんを心から応援しています。 今日の10分セキュリティラジオは月曜から土曜に 祝日も休まず配信しております。 それではまた明日の配信でお会いしましょう。 セキュリティジョッキーの松野でした。 See you!