SHOEISHA iD

※旧SEメンバーシップ会員の方は、同じ登録情報(メールアドレス&パスワード)でログインいただけます

EnterpriseZine(エンタープライズジン)編集部では、情報システム担当、セキュリティ担当の方々向けに、EnterpriseZine Day、Security Online Day、DataTechという、3つのイベントを開催しております。それぞれ編集部独自の切り口で、業界トレンドや最新事例を網羅。最新の動向を知ることができる場として、好評を得ています。

最新イベントはこちら!

Data Tech 2024

2024年11月21日(木)オンライン開催

EnterpriseZine(エンタープライズジン)編集部では、情報システム担当、セキュリティ担当の方々向けの講座「EnterpriseZine Academy」や、すべてのITパーソンに向けた「新エバンジェリスト養成講座」などの講座を企画しています。EnterpriseZine編集部ならではの切り口・企画・講師セレクトで、明日を担うIT人材の育成をミッションに展開しております。

お申し込み受付中!

EnterpriseZine(エンタープライズジン)

EnterpriseZine編集部が最旬ITトピックの深層に迫る。ここでしか読めない、エンタープライズITの最新トピックをお届けします。

『EnterpriseZine Press』

2024年夏号(EnterpriseZine Press 2024 Summer)特集『ニューリーダーに訊く──2024年春、CxOに就任した2人が目指す姿とは』

S&J三輪信雄のセキュリティ ニュースレター

JTB子会社の発表にみる、「漏れたことがわからないから漏れてない」論の限界【追補】


 今回のJTB子会社からの情報漏洩について、漏れた内容にパスポート情報が含まれることから心配する声が上がっている。こういう情報漏洩があるといつもその内容が機微なものかどうかに注目が集まる。今回も発表の中で、クレジットカード情報はない、ということが強調される場面があった。

気をつけるべきはメールアドレス、住所、電話番号

 今回漏洩した情報の中で、まずはメールアドレスに注目してみよう。パスポートがあって旅行しているわけだからある程度の富裕層であることがわかる。その人のメールアドレスと氏名がわかれば、その方々に標的型攻撃メールを送りマルウェアに感染させることができる。そして、富裕層の方々のオンラインバンクから不正送金することが可能になる。

 オンラインで取引をしている顧客ならば、オンラインバンキングを使っている可能性も高いし、他にも通販でクレジットカード決済をしている可能性もある。つまり、マルウェアに感染させられれば、オンラインバンキングもクレジットカード情報も狙えるということになる。

 したがって、少なくともメールアドレスの変更は必要ということになる。さらに、住所と電話番号も漏れていると思われるので、詐欺電話や勧誘の郵便などに気をつけるべきである。

漏れたのはそれだけか?

 これまでも繰り返されてきたことであるが、「漏れた事実が確定ではないので、漏れたとは言えない」という発表である。

 技術的に言えば、「サーバやFW、端末PCのログや痕跡をすべて洗ったのか、そうでないなら漏れた件数と内容は最大数の可能性を検討するべき」である。今回の発表を見る限りでは、いわゆるCSIRTやSOCが機能していたとは到底思えない。そうであれば、最大数のデータの漏えいを疑うべきであるが、報道をはじめ顧客も疑念を持たないようである。

 今回のようなケースでは「もしFWやプロキシ、ファイルアクセスログが十分に残されていたのか、いなかったのか」についてはっきり公表するべきである。

 以前、政府関連の委員会でも何度も「情報漏洩の際の発表のテンプレート」を作成しガイドラインとして示すべきだ、と発言してきたが、いつも周囲の反応は鈍かった。今回もそのようなことが繰り返されているのは残念でならない。

メールを見ながらホームページを見るのやめれば?

 要は、メールを見ながらホームページを見て、サイバー攻撃を防ぐのは無理なのである。そろそろこのことを受け入れるべきなのである。なお、この場合のメールやホームページはFAT端末で、ローカルのメールクライアント、ブラウザを利用していることを指す。

 マルウェアが添付された標的型攻撃メールを開かないようにすることは「防ぐのが困難」というのは周知である。その上で、外部のC&Cサーバへの通信(コールバック)をリアルタイムに漏れなく検知することは「困難」であることも知られている。

 つまり、このような会見を開きたくなければ、少なくともWebアクセスは許可してはいけない。できればメールも直接FAT端末上でローカルに添付ファイルを開くことは避けるべきである。

 自治体のセキュリティの強靭化策では、ネットワークの分離とインターネット出入口の集約化を基本としている。漏れては困る情報を取り扱う端末、ネットワークからのWebアクセスは禁止しているのである。

 金融機関では昔から当たり前のことだが、それ以外の企業や組織ではいまだ、メールもホームページも生で見れるのが当たり前である。この文化を変えることを真剣に考えるべき時に来ていると思う。

次のページ
【追記】

この記事は参考になりましたか?

  • Facebook
  • X
  • Pocket
  • note
S&J三輪信雄のセキュリティ ニュースレター連載記事一覧

もっと読む

この記事の著者

三輪 信雄(ミワ ノブオ)

日本の情報セキュリティビジネスの先駆けとして事業を開始し、以降情報セキュリティ業界をリードしてきた。ITセキュリティだけでなく物理セキュリティについても知見があり、技術者から経営者目線まで広い視野を持つ。政府系委員も数多くこなし、各種表彰、著書・講演も多数。2009年から総務省CIO補佐官を務める。
S&J株式会社 代表取締役

※プロフィールは、執筆時点、または直近の記事の寄稿時点での内容です

この記事は参考になりましたか?

この記事をシェア

EnterpriseZine(エンタープライズジン)
https://enterprisezine.jp/article/detail/8166 2016/06/17 18:30

Job Board

AD

おすすめ

アクセスランキング

アクセスランキング

イベント

EnterpriseZine(エンタープライズジン)編集部では、情報システム担当、セキュリティ担当の方々向けに、EnterpriseZine Day、Security Online Day、DataTechという、3つのイベントを開催しております。それぞれ編集部独自の切り口で、業界トレンドや最新事例を網羅。最新の動向を知ることができる場として、好評を得ています。

新規会員登録無料のご案内

  • ・全ての過去記事が閲覧できます
  • ・会員限定メルマガを受信できます

メールバックナンバー

アクセスランキング

アクセスランキング