Hackademy Facebookページはこちら
岡田 Hackademyでございます。蔵本さん元気ですか。
蔵本 こんにちは。まあまあですね。
岡田 ということでですね、このネタです。JTBへの不正アクセス。
蔵本 これもやっぱりそんなに詳細な情報が出て、みたいな話が出てないじゃないですか。中でインフラの中でどういう手法が使われていたとか……。
岡田 まあ、ちょいちょい出始めているような。Piyokangoさんのブログをいつも見ているんですけども、まあ、まとめをいつもされていますけど、Baiduから記事を消せと言われているらしいですけど、この話はまた別の機会に(笑）。(後日、削除依頼はすぐに取り下げられたようです。)
蔵本 攻撃に使われている手法の詳細とかっていうのはそれほど出てないですよね。
岡田 まだマルウェアは何だったか、くらいですよね。いちおう、だいたいなにかっていうことが書いてある。マルウェアに感染が3月15日で、3月20日くらいに、ようやく、これ休み明けかなんですよね。週末、その間にいろいろやられてたやんという話で。第1ツッコミポイントがここにあるわけですけどね。で、エスカレーションまでのこの謎の2か月。1か月半くらいですね。これ、ビジネス面での影響がけっこう大きいなと僕思っているんですけどDeNAトラベルとか、ドコモとか、いくつかのサービスがOEMなんですよね。実際に起きたことはそんなにびっくりすることが起きたわけではないんですけど。
蔵本 まあいうてみたらよく聞く話ですよね。
岡田 一番最初に記者会見でね、「20歳くらいのオペレーター」っていうのが。気に入らないんですよ（笑）
蔵本 僕もあれすごい反応しちゃったんですけど、なんか別に誰でも踏むじゃないですか（笑）
岡田 何台も踏まれていたっていう話でしょ、あとあと聞くと。複数。サーバー管理者のパソコンはやられていないって主張されていますよね。だけど複数のパソコンがやられていて、たぶん最初のものが、最初のものと認定したのがオペレーターの人だったというわけですけど、他の着弾もあるわけですから。
蔵本 しかも、思うんですけど、誰が踏んだとか、なんで踏んだんやというのはそんなに問題じゃないと思っていて、Hackademyのトレーニングの中でもやってますけど、もう見破るの無理だろっていうメールがくるじゃないですか、実際。
岡田 そうですよね。
蔵本 そんで、それをなんか踏んでしまったからなんやねんと。まあ、踏まないにこしたことはないですけど、それは踏んだ後、踏んでしまっても大丈夫にするにはどうしようというほうに、記事とかも本当はフォーカスして書いたほうが、僕は後学のため、世のため人のためになると思うんですよね。
岡田 あの記者会見のやりとりそのものの中から、スタディというかね、記者会見の中で伝えたいひとの気持ちはわかるのでいいんですけど、今後、その記者会見の中では、その手では正しい応答になっていかないよ、と。「訓練をやってたんです」「オペレーターが非常に精巧な標的型メールをふんじゃったんです」「それは仕方がない、責めてない」みたいなことに大半の時間が使われていて。そういうやり取りが記者会見の原因発表に関する内容としては通用しなくなる転換点みたいなね。
年金機構のことが比較で取り上げられているでしょう。あれも僕ね、おかしいと思うんですよ。あれはもう完全にローカルから持って行っただけじゃないですか。だけど今回、もうひと手口、もうひと手間があったでしょ。
蔵本 そうですね。はい。
岡田 サーバーの中にCSVファイルでデータベースダンプができてる。あれ、どうやったんでしょうね。
蔵本 あのへんがまだなんか明らかになってないですよね。
岡田 パワーシェルからコマンド打って…みたいなことなのか。僕はいちばんありがちなのが、オペレーターが使っているWebインタフェースかクラサバのインターフェースに脆弱性があって、そこからアタック一発かましたんちゃうかなと。
蔵本 PC6台でしたっけ。感染したの。ああいうのもそれぞれ着弾しているのか、どうやって感染が広がったのかっていうこともまだよくわからないですもんね。
岡田 まあ、なので、ガバナンスの話とかビジネスの影響の話だとかもあるんだけど、JTBさんのやつというのはひっかかったね、残念でしたね、という話じゃなくて、もうちょっと攻撃されてから被害が実際に発生するまでのプロセスが明かされないと、少なくてもスタディにならん、そこがポイントだと思います。
ですから、JTBみたいにならないようにするにはどうしたらいいんですかっていうとんでもないバブルが起こっているらしいですけど、今まだ本当にどうしたらいいかっていうことは推測でしかないかなーという感じです。
こういうニュースって、だいたい20日くらいするとみんな忘れてしまって、注意しなくなって、発表しようにもなんかこう発表しても誰もリアクションないので（笑）、ここらへんは、プロのリサーチャーが何らかの分析をどっかに出すなりをやっていただけるといいんじゃないかと。
