気をつけるべきはメールアドレス、住所、電話番号
今回漏洩した情報の中で、まずはメールアドレスに注目してみよう。パスポートがあって旅行しているわけだからある程度の富裕層であることがわかる。その人のメールアドレスと氏名がわかれば、その方々に標的型攻撃メールを送りマルウェアに感染させることができる。そして、富裕層の方々のオンラインバンクから不正送金することが可能になる。
オンラインで取引をしている顧客ならば、オンラインバンキングを使っている可能性も高いし、他にも通販でクレジットカード決済をしている可能性もある。つまり、マルウェアに感染させられれば、オンラインバンキングもクレジットカード情報も狙えるということになる。
したがって、少なくともメールアドレスの変更は必要ということになる。さらに、住所と電話番号も漏れていると思われるので、詐欺電話や勧誘の郵便などに気をつけるべきである。
漏れたのはそれだけか？
これまでも繰り返されてきたことであるが、「漏れた事実が確定ではないので、漏れたとは言えない」という発表である。
技術的に言えば、「サーバやFW、端末PCのログや痕跡をすべて洗ったのか、そうでないなら漏れた件数と内容は最大数の可能性を検討するべき」である。今回の発表を見る限りでは、いわゆるCSIRTやSOCが機能していたとは到底思えない。そうであれば、最大数のデータの漏えいを疑うべきであるが、報道をはじめ顧客も疑念を持たないようである。
今回のようなケースでは「もしFWやプロキシ、ファイルアクセスログが十分に残されていたのか、いなかったのか」についてはっきり公表するべきである。
以前、政府関連の委員会でも何度も「情報漏洩の際の発表のテンプレート」を作成しガイドラインとして示すべきだ、と発言してきたが、いつも周囲の反応は鈍かった。今回もそのようなことが繰り返されているのは残念でならない。
メールを見ながらホームページを見るのやめれば？
要は、メールを見ながらホームページを見て、サイバー攻撃を防ぐのは無理なのである。そろそろこのことを受け入れるべきなのである。なお、この場合のメールやホームページはFAT端末で、ローカルのメールクライアント、ブラウザを利用していることを指す。
マルウェアが添付された標的型攻撃メールを開かないようにすることは「防ぐのが困難」というのは周知である。その上で、外部のC&Cサーバへの通信(コールバック)をリアルタイムに漏れなく検知することは「困難」であることも知られている。
つまり、このような会見を開きたくなければ、少なくともWebアクセスは許可してはいけない。できればメールも直接FAT端末上でローカルに添付ファイルを開くことは避けるべきである。
自治体のセキュリティの強靭化策では、ネットワークの分離とインターネット出入口の集約化を基本としている。漏れては困る情報を取り扱う端末、ネットワークからのWebアクセスは禁止しているのである。
金融機関では昔から当たり前のことだが、それ以外の企業や組織ではいまだ、メールもホームページも生で見れるのが当たり前である。この文化を変えることを真剣に考えるべき時に来ていると思う。
