編集部からのお知らせ
新着の記事まとめPDF「NTT」
おすすめ記事まとめ「MLOps」

最近の重大ハッキング事件から学ぶ6つの教訓 - (page 2)

Megan Berry (Special to ZDNet.com) 翻訳校正: 石橋啓一郎

2012-12-05 07:30

教訓4:ビジネスパートナーやサードパーティーのセキュリティ手順を確認すべし

 2012年の夏、ハッカーのグループが、45万人以上の米Yahooアカウント所有者の電子メールアドレスとパスワードを盗んだ。この情報漏えいの影響を受けたのは、ブログの投稿や動画、その他のコンテンツのアップロードを行うサービスである、「Yahoo Voices(旧Associated Content)」のユーザーだ。ハッカーはSQLインジェクションの脆弱性を利用して、アカウント情報が載っているテキストファイルにアクセスした。

 ただし、このファイルは古いもので、YahooがAssociated Contentのサービスを買収した2010年5月以前に登録したユーザーの情報しか含まれていなかった。流出したデータの古さから考えると、この情報漏えいは買収以前から残されていた脆弱性を利用して行われたものらしい。ただし、だからといって、Yahooが責任から逃れられるわけではない。企業は常に、パートナーシップを組んでいるサードパーティー組織が、セキュリティを検証していることを確認すべきだ。

教訓5:ユーザーに、ソーシャルエンジニアリングによる攻撃に対する訓練を施すべし

 最近では、ほとんどのユーザーが、知らないアドレスから来たメールの怪しいリンクをクリックしてはならないことを知っているが、サイバー犯罪者たちはメールが正規の送信元から送られているように見せかけて、だましてクリックさせる方法を次々に編み出している

 ハッカーはそういった「フィッシング」メールを使って、米国メイン州に本社を持つ建設会社Patcoの従業員のログイン認証情報を盗んだ。サイバー犯罪者は盗んだ認証情報を使って同社の銀行口座にアクセスし、セキュリティ侵害が発見される前に60万ドルを送金した。銀行はその取引の一部(24万3000ドル相当)をブロックすることに成功したが、Patcoは最終的に34万5000ドルの損失を受けた。

 調査会社Forresterによれば、不注意な従業員によって引き起こされるセキュリティ侵害の方が、サイバー犯罪者が原因のものよりも多いという。ユーザーを訓練し、フィッシングメールのようなソーシャルエンジニアリング攻撃を見分けられるようにすることは、非常に重要だ。

教訓6:厳密な変更管理ポリシーを策定する

 3月に、ユタ州政府のDepartment of Technology Services(DTS)の、同州の医療扶助プログラムのデータが置かれているサーバが、サイバー犯罪者のアクセスを受けた。全部で約78万件の記録が漏えいした。担当者は、28万件の社会保障番号が影響を受け、他に約50万人分の氏名と生年月日の情報がハッカーにアクセスされた可能性があると述べた。

 後に分かったのは、サーバがアップグレードされる際にいくつかのミスがあり、これがハッカーを招き入れることにつながったということだ。第1に、工場出荷時に設定されているデフォルトパスワードが変更されていなかった。第2に、盗まれたデータは、サーバがアップグレードされる際、ファイアウォールの内側に置かれていなかった。そして第3に、本来なら削除されているべき、古い、暗号化されていないデータがサーバに置かれたままになっていた。

 この事件は、厳密な変更管理ポリシーを策定することの重要性を際立たせている。多くのセキュリティ侵害は、企業がシステムを適切に構成していながら、マシンがアップグレードされたり、別の変更が行われたときに、それらの設定を移行していない場合に起こっている。また、定期的にセキュリティ監査を実施して、デバイスが適切に構成されていることを確認し、不要になったデータを特定して削除するのはいいアイデアだろう。

この記事は海外CBS Interactive発の記事を朝日インタラクティブが日本向けに編集したものです。

ZDNet Japan 記事を毎朝メールでまとめ読み(登録無料)

特集

CIO

モバイル

セキュリティ

スペシャル

ホワイトペーパー

新着

ランキング

  1. セキュリティ

    アンチウイルス ソフトウェア10製品の性能を徹底比較!独立機関による詳細なテスト結果が明らかに

  2. 経営

    10年先を見据えた働き方--Microsoft Teamsを軸に社員の働きやすさと経営メリットを両立

  3. セキュリティ

    6000台強のエンドポイントを保護するために、サッポログループが選定した次世代アンチウイルス

  4. セキュリティ

    ローカルブレイクアウトとセキュリティ-SaaS、Web会議があたりまえになる時代の企業インフラ構築

  5. 運用管理

    マンガでわかるスーパーマーケット改革、店長とIT部門が「AIとDXで トゥギャザー」するための秘策

NEWSLETTERS

エンタープライズ・コンピューティングの最前線を配信

ZDNet Japanは、CIOとITマネージャーを対象に、ビジネス課題の解決とITを活用した新たな価値創造を支援します。
ITビジネス全般については、CNET Japanをご覧ください。

このサイトでは、利用状況の把握や広告配信などのために、Cookieなどを使用してアクセスデータを取得・利用しています。 これ以降ページを遷移した場合、Cookieなどの設定や使用に同意したことになります。
Cookieなどの設定や使用の詳細、オプトアウトについては詳細をご覧ください。
[ 閉じる ]