最近の重大ハッキング事件から学ぶ6つの教訓 - (page 2)

教訓4：ビジネスパートナーやサードパーティーのセキュリティ手順を確認すべし

　2012年の夏、ハッカーのグループが、45万人以上の米Yahooアカウント所有者の電子メールアドレスとパスワードを盗んだ。この情報漏えいの影響を受けたのは、ブログの投稿や動画、その他のコンテンツのアップロードを行うサービスである、「Yahoo Voices（旧Associated Content）」のユーザーだ。ハッカーはSQLインジェクションの脆弱性を利用して、アカウント情報が載っているテキストファイルにアクセスした。

　ただし、このファイルは古いもので、YahooがAssociated Contentのサービスを買収した2010年5月以前に登録したユーザーの情報しか含まれていなかった。流出したデータの古さから考えると、この情報漏えいは買収以前から残されていた脆弱性を利用して行われたものらしい。ただし、だからといって、Yahooが責任から逃れられるわけではない。企業は常に、パートナーシップを組んでいるサードパーティー組織が、セキュリティを検証していることを確認すべきだ。

教訓5：ユーザーに、ソーシャルエンジニアリングによる攻撃に対する訓練を施すべし

　最近では、ほとんどのユーザーが、知らないアドレスから来たメールの怪しいリンクをクリックしてはならないことを知っているが、サイバー犯罪者たちはメールが正規の送信元から送られているように見せかけて、だましてクリックさせる方法を次々に編み出している。

　ハッカーはそういった「フィッシング」メールを使って、米国メイン州に本社を持つ建設会社Patcoの従業員のログイン認証情報を盗んだ。サイバー犯罪者は盗んだ認証情報を使って同社の銀行口座にアクセスし、セキュリティ侵害が発見される前に60万ドルを送金した。銀行はその取引の一部（24万3000ドル相当）をブロックすることに成功したが、Patcoは最終的に34万5000ドルの損失を受けた。

　調査会社Forresterによれば、不注意な従業員によって引き起こされるセキュリティ侵害の方が、サイバー犯罪者が原因のものよりも多いという。ユーザーを訓練し、フィッシングメールのようなソーシャルエンジニアリング攻撃を見分けられるようにすることは、非常に重要だ。

教訓6：厳密な変更管理ポリシーを策定する

　3月に、ユタ州政府のDepartment of Technology Services（DTS）の、同州の医療扶助プログラムのデータが置かれているサーバが、サイバー犯罪者のアクセスを受けた。全部で約78万件の記録が漏えいした。担当者は、28万件の社会保障番号が影響を受け、他に約50万人分の氏名と生年月日の情報がハッカーにアクセスされた可能性があると述べた。

　後に分かったのは、サーバがアップグレードされる際にいくつかのミスがあり、これがハッカーを招き入れることにつながったということだ。第1に、工場出荷時に設定されているデフォルトパスワードが変更されていなかった。第2に、盗まれたデータは、サーバがアップグレードされる際、ファイアウォールの内側に置かれていなかった。そして第3に、本来なら削除されているべき、古い、暗号化されていないデータがサーバに置かれたままになっていた。

　この事件は、厳密な変更管理ポリシーを策定することの重要性を際立たせている。多くのセキュリティ侵害は、企業がシステムを適切に構成していながら、マシンがアップグレードされたり、別の変更が行われたときに、それらの設定を移行していない場合に起こっている。また、定期的にセキュリティ監査を実施して、デバイスが適切に構成されていることを確認し、不要になったデータを特定して削除するのはいいアイデアだろう。