SQAT® Security 瓦版 | SQAT®.jp

2024年11月7日2025年5月8日

国内大手フードデリバリーサービスを襲った暗号通貨マイニングマルウェア事件の全容～デジタル忍者の襲来：国内企業を震撼 (しんかん)させた史上最悪のサイバー攻撃～

Security NEWS TOPに戻る
バックナンバー TOPに戻る

突如訪れた暗黒の10月25日

2024年秋、日本最大級のフードデリバリーサービスに前代未聞の危機が訪れた。全国の飲食店と消費者をつなぐ巨大プラットフォームが、見えない敵に攻撃されたのである。

静かなる侵略者「RedTail」の恐怖

その敵の名は「RedTail（レッドテイル）」。デジタル世界の暗殺者とも呼ぶべき最新のマルウェアである。RedTailはあたかも影の忍者のごとく、世界的に使用されているセキュリティシステム、Palo Alto Networks社の「PAN-OS」のわずかな隙をついて侵入を果たした。このデジタル忍者は、驚くべき潜伏能力を持っていた。システムの深部に潜み込み、暗号通貨をひそかに採掘しながら、その存在を巧妙に隠蔽 (いんぺい) し続けたのである。まさに現代のサイバー戦争を象徴する出来事であった。

72時間の闘い：システムを守る最後の砦

事態が発覚した10月25日、技術者たちは直ちに非常事態体制に入った。しかし、敵はすでに複数のサーバーに潜伏しており、一つを制圧すれば別の場所で姿を現すという、まさに「もぐらたたき」のような戦いを強いられた。同月26日午後2時30分、ついに全システムの停止という苦渋の決断が下された。技術者たちは不眠不休でマルウェアの駆除と安全性の確認に従事し、72時間に及ぶ死闘の末、ようやくシステムを取り戻すことに成功したのである。

未曾有 (みぞう) の混乱がもたらした教訓

この事件による影響は甚大であった。数十万件に及ぶ注文のキャンセル、数千店舗の営業停止、そして配達員たちの収入機会の喪失。しかし、不幸中の幸いというべきか、個人情報の流出だけは免れた。

新時代のデジタルセキュリティへの挑戦

この事件を機に、企業は包括的なセキュリティ改革に着手した。システムの監視体制を強化し、従業員への教育を徹底。さらに、定期的な脆弱性診断とインシデント対応プロセスの刷新を行うことで、より強固なセキュリティ体制の構築を目指している。

警鐘：すべてのデジタルサービスへの警告

本事件は、現代のデジタル社会における脅威の深刻さを如実に示している。サイバーセキュリティはもはや企業の「選択肢」ではなく「生命線」である。そして、デジタル時代を生きるすべての企業への警鐘として長く記憶されることとなるだろう。

Security NEWS TOPに戻る
バックナンバー TOPに戻る

サイバーインシデント緊急対応

ウェビナー開催のお知らせ

2024年11月13日（水）14:00～15:00
「ウェブ担当者必見!プライバシー保護規制対応と情報セキュリティ-サイバー攻撃への事前・事後対応-」

2024年11月20日（水）13:50～15:00
「サプライチェーンのセキュリティ対策-サプライチェーン攻撃から企業を守るための取り組み-」

2024年11月27日（水）12:50～14:00
【好評アンコール配信】
「Webアプリケーションの脆弱性対策-攻撃者はどのように攻撃するのか-」

最新情報はこちら

2024年10月29日2025年5月12日

暗号技術の未来：量子コンピュータ時代の情報セキュリティ

Security NEWS TOPに戻る
バックナンバー TOPに戻る

私たちの安全なシステム利用や事業継続のためにかかせない暗号技術は、量子コンピュータの登場によりいま大きな転換期を迎えています。本記事では、現行の暗号方式が直面する課題から、次世代の耐量子暗号の動向について解説。特に企業のセキュリティ担当者向けに、最新の暗号技術の標準化動向、暗号化の実装ポイント、そして情報漏洩のリスクを防ぐための対策のポイントを紹介します。暗号技術を安全に活用するため、必要なポイントややっておくべきことを知りたい方は必見です。

contents

現代の暗号技術が直面する課題

暗号技術は情報セキュリティを支える重要な技術の1つです。暗号技術があればこそ、私たちは安心して業務システムを利用し、インターネット経由での事業活動を行うことができています。

一方で、今、次世代暗号に関する話題が、少しずつ一般的なニュースでも取り上げられ始めています。なぜ、次世代暗号技術が求められているのでしょうか。その背景には、既存の暗号技術に対する次のような懸念があるためと考えられます。

量子コンピューターによる脅威

量子コンピューターは、従来の暗号化方式を数秒で解読できる可能性があると言われています。これにより、将来的には既存の暗号技術が無力化され、サイバー攻撃のリスクが増加する恐れがあります。

暗号化されていないデータの活用リスク

暗号化が行われていないデータを活用する場面では、情報漏洩のリスクが高まります。一部の企業では、顧客データや機密情報を暗号化せずに使用しているケースもあり、適切な管理が求められます。

量子コンピュータの脅威に対抗：耐量子暗号

将来、コンピュータの処理能力の進化によって、現在普及している暗号技術が無力化されてしまうと言われています。これは昨今よく取りざたされている、量子コンピュータの登場に起因しています。量子コンピュータは量子力学を計算過程で用いて並列計算を実現することで、現在のコンピュータと比較して圧倒的な処理能力を保持するとされています。

量子コンピュータの登場による既存の暗号技術への脅威、そしてその対策は以下のとおりです。

「暗号の2030年問題」とは？

量子コンピュータは2030年には実用化されると想定されているため、その頃にはサイバー攻撃者が量子コンピュータを用いた攻撃を実行してくる恐れがあるということになります。これが、「暗号の2030年問題」と言われるものです。このため、2030年に先駆けて、防御策を実現する必要があります。そこで、耐量子暗号の選定や鍵長ポリシーの見直し、といった次世代暗号に向けた標準化が、日米において進められています。

暗号技術の標準化動向

●米国：NIST（米国立標準技術研究所）
耐量子暗号アルゴリズム（2024年8月公開）
参考：
https://www.nist.gov/news-events/news/2024/08/nist-releases-first-3-finalized-post-quantum-encryption-standards
●日本：CRYPTREC（暗号技術検討会（総務省・経産省））
→各種タスクフォース等により調査検討中
　　NISTと同等の時期での標準化を目指す

例えば、ポスト量子暗号（PQC）など、量子コンピューターに耐性を持つ暗号技術の開発が進んでおり、今後のセキュリティ戦略の重要な柱になるとされています。

暗号化とデータ活用の両立：高機能暗号技術

従来の暗号技術は、
●データの秘匿：保管している内容が第三者にわからないようにする
●改竄の防止：メッセージ認証等、内容が書き換えられていないかチェック
●認証：なりすましが行われていないか電子証明書による確認
●通信の安全性確保：ネット上で流れるデータ内容が第三者にわからないようにする
といった機能に特化したものです。　　

そして、データの照合や分析といったデータ活用時の処理は平文（データが暗号化されておらず、誰が見ても内容がわかる状態）で実施しているのが現状です。このため、データ処理者に対する平文データへのアクセスを許容せざるを得ず、結果として、業務上の利便性等の都合により、暗号化されていてしかるべき重要情報が平文のまま保存されているといった実情があります。結果、内部犯行はもちろんのこと、外部からの不正アクセスを受けた場合に、平文の重要情報が盗取されてしまう恐れがあるわけです。

これに対し、従来に加えて付加的な機能がある暗号技術の総称が、「高機能暗号技術」です。

なかでも、暗号化したまま演算処理できる「準同型暗号」は、今まさに、実装ライブラリについての国際標準化推進活動が進行中です。準同型暗号のような高機能暗号技術が実用化されれば、クラウドサーバ上における暗号化したままでのデータ照合や分析、個人情報や機密データを秘匿したままでの様々な処理の実現といった、セキュリティが保持されたデータ活用に期待が持たれています。

現在主流の暗号方式の種類

さて、次世代暗号技術のことを述べてきましたが、ここで、従来の暗号技術、すなわち現在主流の暗号技術について確認してみましょう。現在使用されている暗号技術は以下のとおりです。

暗号方式	特徴	主な用途	主な暗号種別
共通鍵暗号	暗号化も復号も同じ鍵を使用 →処理が高速 →鍵の管理が煩雑	ファイルの暗号化	DES Triple DES RC5 AES
公開鍵暗号	公開鍵と秘密鍵を作成して暗号化と復号で異なる鍵を使用 →セキュリティ強度が高い →鍵の管理が容易 →処理は低速	共通鍵の鍵配送電子署名電子証明書	RSA DSA DH（Diffie-Hellman） ECC（Elliptic Curve cryptosyste：楕円曲線暗号）
ハイブリッド暗号	共通鍵暗号の受け渡しには公開鍵暗号を、データ自体の暗号化には共通鍵暗号を使用 →安全性が保たれたうえで高速な処理が可能	SSL/TLS（HTTPS通信）	鍵交換：DH 暗号化：AES、Camellia

共通鍵暗号と公開鍵暗号を組み合わせた「ハイブリッド暗号」には、身近な利用例として、SSL/TLSがあります。HTTP通信をSSL/TLSによって暗号化するHTTPS通信です。共通鍵暗号と公開鍵暗号のそれぞれの長所を組み合わせることで、セキュリティ強度の高い暗号化を実現し、通信の安全性を高めています。

暗号化されていないデータの活用リスク

このように、暗号技術は情報セキュリティの基盤技術として、インターネット通信、電子署名、ファイルやデータベースの暗号化等に活用され、安全な事業活動に寄与しています。

ここで気をつけたいのが、通信上を流れるデータには注意を払っていても、自組織内で保存する重要なデータが平文のまま、というケースです。これは、ビジネス上の非常に大きなリスクとなり得ます。ここでは主に二つのリスクが考えられます。一つ目は、攻撃者の侵入を許してしまった場合、使用可能な状態の情報にアクセスを許してしまうことによる情報漏洩のリスク、二つ目が内部による犯行を誘発するリスクです。過去には実際に、保存データが平文であったことで深刻な情報漏洩となってしまった例が存在します。

暗号化されていなかったことにより個人情報が漏洩した事例

2020年通販サイト(日)*8	約6,300件漏洩パスワードを平文で保存
2020年カード決済事業者(米)*9	約250万件漏洩クレジットカード情報を平文で保存
2019年ファイル送信サービス(日)*10	約480万件漏洩パスワードを平文で保存	⇒サービス終了
2018年航空会社(中)*11	940万件漏洩バックアップファイルを平文で保存	⇒多額の制裁金等
2017年信用情報機関(米)*12	約1億4,500万件漏洩ユーザデータを平文で保存	⇒格付け引き下げ、多額の制裁金等
2014年通信教育会社(日)*13	約3,500万件漏洩内部関係者による犯行	⇒刑事裁判での過失責任認定等

仮に攻撃者の侵入を許してしまったとしても、暗号化でデータを保護することによって、情報漏洩の被害を防ぐことが可能です。また、ランサムウェアの二重脅迫*14https://www.sqat.jp/kawaraban/14279/や、内部犯行に対しても暗号化は有効です。

安全な暗号技術導入のために必要なポイント

では、取りあえず暗号技術を導入していれば安心かというと、決してそんなことはありません。

暗号化を実装したつもりで、実はこんな状態になっている、ということはないでしょうか。

●一部の個人情報や機密情報といった重要情報がHTTP通信で送信されている
●サーバ証明書が期限切れである
●信頼できない認証局SSL/TLS証明書を使用している
●危殆化した暗号アルゴリズムや鍵長を利用しているプラットフォームがある
●ソースコードに独自の暗号化関数（またはライブラリ）を実装している
●ソースコードにおいて暗号鍵がハードコード(※)されている

※ハードコード… 本来、ソースコード内には記述すべきではない処理や値を直接書き込むこと。（例：税率など）動作環境や利用条件に応じて処理や値を変更する場合、対応が困難になる。

例えば、前述した「ハイブリッド暗号」で触れたSSL/TLSの実情について見てみましょう。IPA（独立行政法人情報処理推進機構）が2024年6月19日に公開した「TLS暗号設定ガイドライン第3.1.0版」では、暗号化通信のプロトコルバージョンについて、TLS 1.3を推奨し、TLS1.0 や TLS1.1についてはセキュリティ例外型のみで利用可能としています。しかしながら、TLS 1.1以下をサポートしているサイトがいまだ全体の3割程度存在することがわかります（グラフ参照）。たとえブラウザで無効化されていたとしても、攻撃者がブラウザを経由せずサーバを攻撃する恐れがあるため、TLS 1.1以下の接続を許容すること自体がリスクとなります。早急にTLS 1.1以下での接続可否を確認し、接続が可能な場合は対処を実施するべきです。

自組織の現状確認、最新の暗号技術動向の把握に努め、環境・リスクに応じた適切な暗号技術の実装を行う必要があるでしょう。

安全に暗号技術を活用するためにやっておくべきこと

せっかくコストをかけて暗号技術を導入していても、適切に実装できていなければ宝の持ち腐れになってしまいます。まずは自組織の暗号化実装がセキュリティ対策として実効性のあるものか、現状の確認を行うことを推奨します。

例えば以下のような観点でチェックすることが必要です。

環境・システムへの暗号化実装による実効性確認のポイント

●プラットフォーム
●Webアプリケーション
●API
●スマホアプリ
●クラウドサービス

確認方法の例

●システム脆弱性診断
●PCI DSS準拠チェック
●ソースコード診断
●クラウド設定チェック（CISベンチマーク、ベストプラクティス適合度）
●ペネトレーションテスト

現状、適切な暗号技術の実装がなされていれば、来る次世代暗号技術への移行準備を実施する段になっても、スムーズに対応することができるでしょう。

参考情報：暗号化実装に関するガイドラインの紹介

■電子政府における調達のために参照すべき暗号のリスト
（CRYPTREC暗号リスト）（最終更新：2024年（令和6年）5月16日）
　総務省・経済産業省
　https://www.cryptrec.go.jp/list.html

■TLS 暗号設定ガイドライン(2024年6月19日第3.1.0版公開)
　IPA（独立行政法人情報処理推進機構）・NICT（国立研究開発法人情報通信研究機構）
　https://www.ipa.go.jp/security/crypto/guideline/ssl_crypt_config.html

■暗号鍵管理システム設計指針(基本編)（2020年7月）
　IPA（独立行政法人情報処理推進機構）・NICT（国立研究開発法人情報通信研究機構）
　https://www.ipa.go.jp/security/crypto/guideline/gmcbt80000005u7d-att/ipa-cryptrec-gl-3002-1.0.pdf

■SP 800-57 Part 1: Recommendation for Key Management: Part 1 – General」（2020年5月4日）
　NIST（米国立標準技術研究所）
　https://nvlpubs.nist.gov/nistpubs/SpecialPublications/NIST.SP.800-57pt1r5.pdf

■SP 800-175B: Guideline for Using Cryptographic Standards in the Federal Government: Cryptographic Mechanisms（2020年3月31日）
　NIST（米国立標準技術研究所）
　https://nvlpubs.nist.gov/nistpubs/SpecialPublications/NIST.SP.800-175Br1.pdf

ウェビナー開催のお知らせ

2024年11月6日（水）12:50～14:00
【好評アンコール配信】
「自動車業界の脅威を知る！自工会・部工会サイバーセキュリティガイドラインから学ぶセキュリティ対策」

2024年11月13日（水）14:00～15:00
「ウェブ担当者必見!プライバシー保護規制対応と情報セキュリティ-サイバー攻撃への事前・事後対応-」

2024年11月20日（水）13:50～15:00
「サプライチェーンのセキュリティ対策-サプライチェーン攻撃から企業を守るための取り組み-」

2024年11月27日（水）12:50～14:00
【好評アンコール配信】
「Webアプリケーションの脆弱性対策-攻撃者はどのように攻撃するのか-」

最新情報はこちら

Security NEWS TOPに戻る
バックナンバー TOPに戻る

2024年10月21日2025年5月12日

国内電機メーカーへのランサムウェア攻撃被害について

Security NEWS TOPに戻る
バックナンバー TOPに戻る

2024年10月5日、国内電機メーカーの一部サーバでシステム障害が発生し、その後の調査から第三者によるランサムウェア攻撃を受けたことがわかりました*15。この攻撃により、同社および関係会社が保有する個人情報や秘密情報の一部が漏洩した可能性があります。本記事では攻撃による影響とランサムウェア攻撃への対策案について紹介します。

ランサムウェア攻撃の概要

概要：サーバのシステム障害発生後、攻撃者による不正アクセスを受け、個人情報や秘密情報が漏洩
発生日時：2024年10月5日
攻撃者：ランサムウェア攻撃グループ「Underground」が犯行声明を発表*2しました。
影響範囲：社内ネットワークが影響を受け、新製品の発売延期やオンラインストアの出荷遅延が発生しました。
対応状況：外部のセキュリティ専門企業の支援を受け、影響範囲の詳細な調査を進めている。

ランサムウェア攻撃発生から公表までの流れ

発生日時：2024年10月5日にシステム障害が発生。
公表日：2024年10月11日にランサムウェア攻撃と確認。

漏洩した情報

• 顧客情報：サービス利用者の個人情報（クレジットカード情報を除く）
• 従業員情報：氏名、メールアドレス、住所など
• 顧客情報：サービス利用者の個人情報
• 契約書：取引先との契約書や請求書、売上情報
• 社内文書：法務、財務、人事計画、監査、営業、技術に関する情報
• 製品発売延期：新製品発売が延期。
• システム停止：受発注システムや修理依頼システムを停止。
• 調査：外部のセキュリティ専門家と影響範囲を調査中。

攻撃の影響

取引先との受発注システムや顧客からの修理依頼システムを停止。社内サーバのシステム障害の影響により新製品の発売日を延期

対応策

初期対応：不正アクセスを受けたサーバをインターネットや社内ネットワークから遮断
外部支援：セキュリティ専門家の支援を受けて調査継続中
情報保護：漏洩した情報の悪用を防ぐため、警察と連携して対応
顧客対応：顧客や関係者に対して情報漏洩の可能性がある旨を通知、フィッシングメールやスパムメールへの注意喚起

今後のセキュリティ対策

セキュリティ強化：情報セキュリティ体制の一層の強化を図ります。
再発防止：原因の追究と再発防止策の徹底を行います。
教育啓発：従業員へのセキュリティ教育を強化し、意識向上を図ります。
外部協力：外部のセキュリティ専門機関と連携し、継続的な対策を講じます。

まとめ

2024年10月5日、国内電機メーカーが大規模なランサムウェア攻撃を受けたと報じられました。この攻撃により、同社の一部サーバでシステム障害が発生し、個人情報や機密情報の漏洩の可能性が指摘されており、影響は社内ネットワーク全体にまで及んだようです。ランサムウェア攻撃グループ「Underground」からは犯行声明が発表されました。この事態を受け、同社は新製品の発売延期やオンラインストアの出荷遅延を余儀なくされました。同社は迅速な対応を行い、被害を受けたサーバをネットワークから切り離すとともに、外部のセキュリティ専門家を招いて詳細な調査を開始しました。漏洩の可能性がある情報には、顧客と従業員の個人情報、取引先との契約書、社内文書など広範囲に及ぶと考えられています。企業は今後の対策として、情報セキュリティ体制の強化、再発防止策の徹底、従業員へのセキュリティ教育の充実を掲げています。また、顧客や関係者に対して情報漏洩の可能性を通知し、フィッシングメールなどへの注意を呼びかけています。

この事件は、企業のサイバーセキュリティの重要性を改めて浮き彫りにしました。今後の対応と回復の過程が、他の企業にとってもサイバー攻撃対策の重要な参考事例となることが予想されます。

ランサムウェアとは？

定義：データを暗号化し、復号のために身代金を要求する不正プログラム。
影響：データの使用不能や情報漏洩のリスク。
対策：ネットワークからの切り離しやセキュリティ強化が必要。

関連記事：

「ランサムウェアとは何か -ランサムウェアあれこれ 1-」

「ランサムウェアの攻撃手口・脅威-ランサムウェアあれこれ2-」

「ランサムウェアに感染したら？対策方法とは -ランサムウェアあれこれ 3-」

Security NEWS TOPに戻る
バックナンバー TOPに戻る

サイバーインシデント緊急対応

ウェビナー開催のお知らせ

2024年10月23日（水）13:00～14:00
【好評アンコール配信】
「インシデント発生の事前準備・事後対応-拡大するサイバー攻撃への対策方法とは-」

2024年11月6日（水）12:50～14:00
【好評アンコール配信】
「自動車業界の脅威を知る！自工会・部工会サイバーセキュリティガイドラインから学ぶセキュリティ対策」

2024年11月13日（水）14:00～15:00
「ウェブ担当者必見!プライバシー保護規制対応と情報セキュリティ-サイバー攻撃への事前・事後対応-」

最新情報はこちら

2024年10月21日2025年5月12日

WordPressとWP Engineが対立！ACFプラグイン問題で何が起きているのか？【2024年最新情報】

Security NEWS TOPに戻る
バックナンバー TOPに戻る

今、WordPressとWP Engineの間でプラグインをめぐる対立が勃発し、ウェブ開発業界に大きな波紋を呼んでいます。何が起きたのか？その背景と現在の影響は？ユーザにはどんな具体的な影響があるのか？そして今後の対応策や展望について解説します。ウェブサイト運営者や開発者必見の内容です。

何が起きたのか？

WordPressとWP Engineの対立は、単なる企業間の争いではありません。発端は商標の使い方から始まり、プラグインの管理方法、さらにはシステムの根幹にかかわる機能の変更にまで広がってしまいました。特に注目すべきは、プラグイン「Advanced Custom Fields（ACF）」をめぐる問題です。10月13日、WordPress側が「Secure Custom Fields（SCF）」として名称を変更し、独自にリリースしたことが業界全体に大きな波紋を呼んでいます。

現在の影響と対応

WordPressとWP Engineの対立は、多くのユーザに実務的な影響を及ぼしています。最も深刻なのは、プラグインの自動更新が停止されたことです。これにより、多くのウェブサイト運営者は手動での更新作業を強いられています。また、セキュリティ面での懸念も高まっており、特に中小企業のウェブサイト管理者にとって大きな負担となっています。

今、ユーザにどんな影響が？

誰もが一番困ってしまうのは、プラグインの自動更新が止まってしまったことです。今までボタン一つで済んでいた更新作業を、手動でやらなければならなくなりました。特に中小企業のサイト管理者の方々は、この対応に頭を悩ませています。セキュリティ面での心配も出てきているのです。

何が問題になっているの？

大きく分けると2つの問題があります。一つ目が、「WordPress」という名前の使い方です。WP Engineの使い方に対して、WordPress.comを運営するオートマティック社が「それは違うでしょ！」と異議となえているわけです。WP Engineは独自の開発方針を持っていますが、これがWordPressコミュニティの方向性と合致していないことが問題視されています。二つ目が、WP Engineがパフォーマンス向上を目的としてWP Engineが一部機能を無効化したことです。このコア機能の変更に関して、ユーザデータの保護の観点から批判が出ています。

業界全体への影響は？

この対立は、WordPress関連の業界全体に波紋を広げています。プラグイン開発者たちは、開発方針の見直しを迫られています。また、ホスティング業界全体にも波及効果があり、オープンソースコミュニティのあり方について、新たな議論が巻き起こっています。

どう対応すればいい？

現状では、ウェブサイト運営者は定期的な情報確認が不可欠です。公式ブログやフォーラムでの最新情報をチェックし、必要に応じて代替策を検討する必要があります。特に重要なのは、独自のセキュリティ対策を強化することです。定期的なバックアップの実施や、セキュリティ監視の強化が推奨されます。もしものときのために、セキュリティ対策も見直しておくと安心です。

この先どうなるの？

この問題の解決には時間がかかると予想されます。両者の交渉は継続していますが、法的な解決を含めて様々な可能性が検討されています。現在の混乱した状況が、新しいセキュリティ体制の構築につながるきっかけとなる可能性もあるでしょう。

まとめ

今回の騒動は、オープンソースのソフトウェアを商業的に使う際の難しさを浮き彫りにしました。この状況下では、ユーザが自身の環境に合わせた適切な対応を取ることが重要です。情報収集を怠らず、必要に応じて専門家に相談することも検討すべきでしょう。状況は日々変化していますので、継続的な注意が必要です。

※この記事は2024年10/15の状況を基に作成されています。最新の情報は各公式サイトでご確認ください。

参考情報：

Security NEWS TOPに戻る
バックナンバー TOPに戻る

サイバーインシデント緊急対応

ウェビナー開催のお知らせ

2024年10月23日（水）13:00～14:00
【好評アンコール配信】
「インシデント発生の事前準備・事後対応-拡大するサイバー攻撃への対策方法とは-」

2024年11月13日（水）14:00～15:00
「ウェブ担当者必見!プライバシー保護規制対応と情報セキュリティ-サイバー攻撃への事前・事後対応-」

最新情報はこちら

2024年10月17日2025年5月12日

NVIDIA Container Toolkitの重大な脆弱性：CVE-2024-0132とその対策

Security NEWS TOPに戻る
バックナンバー TOPに戻る

NVIDIAの人気ツールに危険な脆弱性が発見！迅速な対応が不可欠です。本記事では、この問題の詳細と対策方法をわかりやすく解説します。

■脆弱性の概要

NVIDIA Container Toolkitに、深刻な脆弱性「CVE-2024-0132」が見つかりました。この問題は以下の特徴があります。

影響を受けるバージョン：1.16.1以前のすべて
脆弱性の種類：TOCTOU（Time-of-check Time-of-use）
CVSSスコア：9.0（クリティカル）

■この脆弱性がもたらすリスク

攻撃者がこの脆弱性を悪用すると、次のような深刻な被害が発生する可能性があります。

リモートコードの実行
サービス拒否（DoS）攻撃
特権の不正取得
機密情報の漏洩
データの改ざん

■対策方法

即時アップデート

NVIDIA Container Toolkit：バージョン1.16.2へ更新
NVIDIA GPU Operator使用者：バージョン24.6.2への更新を検討

セキュリティツールの活用

Trend Vision One™などを使用し、脆弱性を事前に検出
コンテナイメージのスキャンと実行時の脆弱性検出を実施

システム全体のセキュリティ強化

定期的なセキュリティ監査の実施
最新のセキュリティパッチの適用

■注意点

Container Device Interface（CDI）がNVIDIA GPUへのアクセスを指定している場合は影響を受けにくいですが、多くの環境ではこの条件が満たされていない可能性があります。
関連する脆弱性CVE-2024-0133（CVSSスコア4.1、中程度）にも注意が必要です。

■まとめ

NVIDIA Container Toolkitの脆弱性CVE-2024-0132は非常に深刻です。影響を受ける可能性のあるシステムは、速やかに最新バージョンへのアップデートを行い、包括的なセキュリティ対策を講じることが重要です。迅速な対応で、あなたの組織をサイバー攻撃から守りましょう。

Security NEWS TOPに戻る
バックナンバー TOPに戻る

サイバーインシデント緊急対応

ウェビナー開催のお知らせ

2024年10月23日（水）13:00～14:00
【好評アンコール配信】
「インシデント発生の事前準備・事後対応-拡大するサイバー攻撃への対策方法とは-」

2024年11月13日（水）14:00～15:00
「ウェブ担当者必見!プライバシー保護規制対応と情報セキュリティ-サイバー攻撃への事前・事後対応-」

最新情報はこちら

2024年10月10日2025年9月3日

あなたの情報は大丈夫？
人気コーヒーショップのオンラインストアで約9万件の個人情報流出！事件から学ぶ情報セキュリティの重要性

Security NEWS TOPに戻る
バックナンバー TOPに戻る

2024年5月、大手コーヒーショップの公式オンラインストアで大規模な個人情報漏洩事件が発生しました。この事件により、約9万2685件の個人情報と5万2958件のクレジットカード情報が漏洩した可能性が明らかになりました。本記事では、事件の内容と顧客への影響、そして企業がとるべきセキュリティ対策についてご紹介します。

事件の概要

2024年5月、大手コーヒーショップの公式オンラインストアで大規模な個人情報漏洩事件が発生しました。この事件により、約9万2685件の個人情報と5万2958件のクレジットカード情報が漏洩した可能性が明らかになりました。

事件の経緯

2024年5月20日：警視庁からの連絡により事態を認識、オンラインストアでのクレジットカード決済を停止
5月23日：オンラインストアを一時閉鎖
5月30日：不正アクセスによるシステム侵害を公表

この事件は、2020年10月1日から2024年5月23日までの期間に会員登録したユーザーに影響を及ぼしました。特に、2021年7月20日から2024年5月20日までの間にクレジットカード決済を利用した顧客のカード情報が漏洩の対象となっています。重要なのは、この漏洩が公式オンラインストアに限定されており、楽天市場や公式アプリでの購入には影響がないことです。

漏洩した情報の詳細

今回の事件で漏洩した可能性のある情報は、以下の通りです。

個人情報

氏名
住所
電話番号
性別
生年月日
メールアドレス
ログインID
ログインパスワード
配送先情報

クレジットカード情報

クレジットカード番号
カード名義人名
有効期限
セキュリティコード（CVV/CVC）

特に注目すべきは、クレジットカードのセキュリティコードが漏洩している点です。セキュリティコードは通常、オンライン決済の際に使用される3桁または4桁の数字で、カード裏面に記載されています。この情報が漏洩すると、不正利用のリスクが大幅に高まります。一般的に、PCI DSS（Payment Card Industry Data Security Standard）という国際的なセキュリティ基準では、セキュリティコードを保存することは禁止されています。そのため、公式オンラインストアがこの情報を保存していた事実自体が、セキュリティ管理の甘さを示しているといえるでしょう。

影響を受けた顧客数

この事件で影響を受けた顧客数は以下の通りです。

個人情報漏洩

約9万2685人対象期間：2020年10月1日～2024年5月23日に会員登録した顧客

クレジットカード情報漏洩

約5万2958人対象期間：2021年7月20日～2024年5月20日にクレジットカード決済を利用した顧客

この数字は、公式オンラインストアの利用者の大部分を占めると考えられます。特に、クレジットカード情報の漏洩は深刻な問題で、不正利用による金銭的被害のリスクが高まっています。

漏洩の原因と手口

今回の情報漏洩の主な原因は、公式オンラインストアのシステムに対する不正アクセスです。攻撃者はシステムの脆弱性を突き、特にペイメントアプリケーションを改ざんすることで情報を盗み取りました。使用された手口は「Webスキミング」と呼ばれるもので、以下のような手順で実行されます。

攻撃者がウェブサイトのコードに不正なスクリプトを埋め込む
ユーザーがフォームに入力した情報（クレジットカード情報など）が攻撃者のサーバーに送信される
正規の決済処理と並行して、情報が盗まれる

この手法の危険性は、ユーザー側では異常を検知しにくい点にあります。正規のウェブサイトを利用しているように見えるため、被害に気付くのが遅れる可能性が高くなります。

Webスキミング攻撃は近年増加傾向にあり、2018年から2019年にかけて大手通販サイトBritish Airwaysが同様の攻撃を受け、約38万人の顧客情報が漏洩する事件が発生しています。このような攻撃を防ぐためには、以下のようなセキュリティ対策を実施することが必要になります。

定期的なセキュリティ監査の実施
ウェブアプリケーションファイアウォール（WAF）の導入
コンテンツセキュリティポリシー（CSP）の適切な設定
従業員に対するセキュリティ教育の徹底

今回の事件のケースでは、これらの対策が十分でなかった可能性が高いといえるでしょう。

対応と今後の対策

事態の発覚後、企業は迅速な対応をとりました。

オンラインストアの一時閉鎖
クレジットカード決済の停止
影響を受けた顧客への個別連絡
クレジットカード会社との連携による不正利用の監視
第三者調査機関によるフォレンジック調査の実施

また今後の対策として、以下の取り組みを行う方針を示しています。

システムの脆弱性の完全修正
定期的なセキュリティ監査の実施
リアルタイム監視システムの導入
従業員に対するセキュリティ教育の強化
外部専門家によるセキュリティ診断の定期実施

特に重要なのは、PCI DSSへの準拠です。これにより、クレジットカード情報の取り扱いに関する国際的な基準を満たすことができます。また、今回の事件について、企業は顧客とのコミュニケーションを重視し、説明動画の公開や定期的な情報更新を行っています。この透明性の高い対応は、信頼回復に向けた重要なステップといえるでしょう。

SQAT.jpではPCI DSS準拠について、以下の記事で紹介しています。ぜひあわせてご覧ください。
「PCI DSSとは ―12の要件一覧とPCI DSS準拠―」

顧客がとるべき対策

公式オンラインストアを利用した顧客は、以下の対策をとることが推奨されます。

クレジットカードの利用明細を定期的に確認し、不審な取引がないか注意する
不審な取引を発見した場合は、直ちにクレジットカード会社に連絡する
公式オンラインストアで使用したパスワードを他のサービスでも使用している場合は、速やかに変更する
不審なメールや電話に注意し、個人情報の追加提供を求められても応じない
クレジットカード会社が提供する不正利用補償サービスの内容を確認し、必要に応じて利用する

また今後、オンラインショッピングを利用する上では以下の点に注意することが重要です。

信頼できるサイトでのみ買い物をする
クレジットカード情報を入力する際は、URLが「https」で始まっていることを確認する（=暗号化通信の導入）
公共のWi-Fiでのオンラインショッピングは避ける
異なるサービスごとに別々のパスワードを使用する
二段階認証が利用可能な場合は積極的に活用する

情報セキュリティの重要性

今回の事例は、企業における情報セキュリティの重要性を改めて浮き彫りにしました。今後企業は以下のような点を考慮し、常にセキュリティ対策を見直し、強化していく必要があるでしょう。

継続的なセキュリティ対策の実施

一度だけの対策では不十分で、常に最新の脅威に対応できる体制が必要です。

従業員教育の徹底

技術的対策だけでなく、人的要因によるセキュリティリスクも軽減する必要があります。

インシデント対応計画の策定

事件発生時に迅速かつ適切に対応できるよう、事前に計画を立てておくことが重要です。
外部専門家の活用自社だけでなく、専門知識を持つ外部の目を通してセキュリティを評価することが有効です。

法令遵守の徹底

個人情報保護法やPCI DSSなど、関連する法令や基準を厳守する必要があります。

まとめ

今回の大手コーヒーショップの公式オンラインストアにおける個人情報漏洩事件は、現代のデジタル社会が直面するセキュリティリスクを如実に示しています。約9万人以上の顧客情報が漏洩し、そのうち5万人以上のクレジットカード情報も危険にさらされました。事件の主な原因は、Webスキミングと呼ばれる攻撃手法によるものでした。企業はシステムの脆弱性を突かれ、ペイメントアプリケーションが改ざんされる結果となりました。事態発覚後、企業は迅速な対応を取り、オンラインストアの一時閉鎖やクレジットカード決済の停止、影響を受けた顧客への個別連絡などを行いました。今後は、システムの脆弱性修正や定期的なセキュリティ監査など、再発防止に向けた取り組みを強化する方針です。顧客側も、クレジットカードの利用明細の確認や不審な取引への警戒など、自己防衛策を講じる必要があります。また、オンラインショッピング全般において、セキュリティ意識を高めることが重要です。この事件は、企業における情報セキュリティの重要性を改めて認識させるものとなりました。継続的なセキュリティ対策の実施、従業員教育の徹底、インシデント対応計画の策定など、包括的なアプローチが求められています。デジタル化が進む現代社会において、個人情報の保護は企業の重要な責務です。今回の事例を教訓に、企業はセキュリティ対策を強化し、顧客の信頼を守り続けることが求められています。同時に、利用者側もセキュリティ意識を高め、自己防衛策を講じることが大切です。官民一体となったサイバーセキュリティの向上が、安全なデジタル社会の実現につながります。

Security NEWS TOPに戻る
バックナンバー TOPに戻る

BBSecでは

サイバーインシデント緊急対応

突然の大規模攻撃や情報漏えいの懸念等、緊急事態もしくはその可能性が発生した場合は、BBSecにご相談ください。セキュリティのスペシャリストが、御社システムの状況把握、防御、そして事後対策をトータルにサポートさせていただきます。

SQAT^® 脆弱性診断サービス

サイバー攻撃に対する備えとして、BBSecが提供する、SQAT脆弱性診断サービスでは、攻撃者の侵入を許す脆弱性の存在が見逃されていないかどうかを定期的に確認することができます。自組織の状態を知り、適切な脆弱性対策をすることが重要です。

2024年9月27日2025年5月12日

【続】プログラミング言語の脆弱性対策を考える：2024

Security NEWS TOPに戻る
バックナンバー TOPに戻る

本記事は2020年9月公開の記事「プログラミング言語の脆弱性対策を考える」の続編となります。前回の記事をまだご覧になっていない方はぜひ、この機会にご一読ください。

いま「C言語の脆弱性対策について簡単に教えて」と生成AIに尋ねてみると、弊社SQAT.jpの記事が引用記事として出てきます。前回の記事を公開してからそろそろ５年ぐらいの月日がたつということで、今回は2024年版のプログラミング言語をめぐる状況と、ちょっとした脆弱性対策に関する情報をご紹介します。

2020年から2024年で変わったこと

生成AIの汎用化

2024年の夏、最初の会社の同期20人で5年ぶりに集まりました。その中でコードを業務で書いているメンバーが同じテーブルに集まったとき、最初に出た話題は「生成AIって何使っている？」でした。所属する会社も違い、使っている言語はバラバラ、コードを書く目的や環境、書く頻度もまちまち、利用する生成AIもバラバラなのですが、全員が生成AIを使っていることに少々驚きました。この友人が全員口をそろえて生成AIについて評価していた点は、コードを作るときに最初にかかる時間と手間が圧倒的に削減されるという点です。

これまでは「こういうことを処理するコードを作ろう」と思うと、わかるところは先に大まかに書いたうえで、わからないところや怪しい部分はプログラミング言語のリファレンスをひっくり返し、Webで検索し、情報を集めたうえでコードスニペットを起こし、実際のコードとして動かし…という順で作業していました。一方、生成AIを使う場合はこういったことをやろうと思った時点で足りない部分を生成AIに質問すればスニペットが返ってくる（場合によってはコードブロックが返ってくる）ので、コードづくりの前半部分の悪戦苦闘がかなり軽減されます。

ところが、短所もいくつかあります。まず生成AIサービスが免責事項として常に掲げるように、必ずしも正しい答えが返ってくるわけではない点には理解が必要とされるところです。
引用元をよくみると、古いバージョンの言語に基づいたQ&Aサイトの回答を参照していることもよくありますし、プロンプトに対して素直に答えるという性質上、プロンプトに入れていない前段処理に対して不整合が発生する内容のスニペットが回答される、といったことはわりと日常茶飯事です。

学習データやプロンプトの入れ方次第では返答されるコードスニペット自体にエラーや脆弱性が含まれる場合もあります。プロンプトに関係のない前後の処理との不整合でエラーが発生したり、他のコードブロックとの兼ね合いでエラーが発生したり、そのエラーが結局脆弱性につながるものだったりという可能性は十分にあります。

また、一般的な商用サービスの生成AIでは入力が学習データに使用されます。つまり自身が入力したデータが流用されるという前提でサービスを利用することになります。このため、自社の知的所有権への配慮や、個人情報や機微情報、場合によっては非公開情報全般への配慮が必要となる点にも注意が必要です。エンタープライズサービスとしてこういったことを回避するサービスもありますが、それ相応の費用が必要となります。

ただ、自前で大規模言語モデル（LLM：Large language Models）をつくるよりも人件費や設備費用などが圧倒的に安価で手軽であるという点では規模の経済性を実感するところはあります。そういった観点から、将来、どの企業でも自社でAIを全く使わないという選択肢はあまりないかと思います。プログラミングに限らずですが、AIとほどよく付き合って効率的に仕事を進めつつ、エラーや脆弱性をきちんと見逃さない仕組みをもって問題を回避していく、
そういう仕事法になっていくかもしれません。

ノーコードとローコード

以前からどちらも存在はしますが、2020年代に入ってからノーコードやローコードといった選択肢が増えてきています。

ノーコード
プログラミングの知識がなくてもアプリケーションを開発できる手法です。専門的なコードを書くことなく、ドラッグ＆ドロップなどのビジュアル操作で簡単にアプリケーション開発ができます。ITの専門スキルがない人でもアイディアをデジタル化できる点が特徴です。小規模なプロジェクトの開発に適しています。
ローコード
最小限のプログラミングでアプリケーションを開発する手法です。基本はビジュアル操作ですが、必要に応じて一部コードを書きます。柔軟性とスピードのバランスが特徴です。

最近だとAWSがローコード構築サービスをリリースした*3のが一例となるでしょう。ノーコードやローコードを使用するメリットとしては、各業務の定義やフロー、プロセスが明確であれば定型業務やバックヤード業務の一部を合理化できることです。効率化することで時間短縮ができ、別のより生産性の高い仕事に人を割り振れるといった副次的な効果も期待できます。ただ、業務の内容が不明確な場合や、業務が日々恣意しい的な運用をされている場合には大きなメリットを得ることは難しいかもしれません。

ここで脆弱性の話です。実際ノーコードといっても実は補助的にパラメータの入力が必要な場合があります。また、外部とのAPI連携をノーコードの画面から実行するといった構成のノーコード機能を持っているSaaS(Software as a Service)もあります。そして誤ったパラメータの入力で入出力の脆弱性を発生させる可能性がある、APIとのやりとりの詳細はユーザでは見えない（SaaSのサポート担当者は見えるケースが多いようです）ため、誤った接続先に接続していた場合や連携しているAPIになんらかの脆弱性があった場合に切り分けが煩雑になるといったところは懸念材料として頭の片隅に置いたほうが良いでしょう。

ノーコードもローコードも非常に便利です。そのノーコードフロー自体の仕組みやパラメータの動きや連携先のAPIの信頼性などを理解したうえで使えば、劇的に効率化が図れるため、API同様にうまく付き合っていくということが重要になるのではないでしょうか。

プログラミング言語

専門家たちがどのプログラミング言語を使っているかというデータが、毎年Stack Overflowから発表されます。2020年と2024年でどの程度変わったか、比較をしてみましょう。


言語	2024年	2020年
JavaScript	64.60%	69.70%
HTML/CSS	54.10%	62.40%
Python	53%	41.60%
SQL	47%	56.90%
TypeScript	43.40%	28.30%
Bash/Shell	34.20%	34.80%
Java	30.00%	38.40%
C#	28.80%	32.30%
C++	20%	20.50%
C	18.70%	18.20%
PHP	16.90%	25.80%
PowerShell	14.40%	注 1)
Go	14.00%	9.40%
Rust	11.70%	4.80%
Kotlin	9.90%	8.00%
Dart	6.00%	3.70%
Ruby	5.80%	7.50%
Lua	5.30%	ランク外
Swift	4.90%	6.10%
Visual Basic	4.10%	ランク外

出典：Stack Overflow Developer Survey2020年版/2024年版より弊社作成
2020年版：https://survey.stackoverflow.co/2020#technology-programming-scripting-and-markup-languages-professional-developers
2024年版：https://survey.stackoverflow.co/2024/technology#most-popular-technologies-language-prof

ここからは2020年と2024年の脆弱性診断結果の比較で目についた点を深堀りしてみたいと思います。

プログラミング言語と適材適所

前述した「専門家たちはどのプログラミング言語を使っているか」というデータの表からもわかるとおり、このWeb大全盛の時代に「PHPを使う」と回答したエンジニアの比率は下がっています。また、BBSecのシステム脆弱性診断結果からもPHPの脆弱性報告件数が減っていることがわかります。米国の脆弱性情報データベースNVDによるとPHPの脆弱性自体の数が減っている*2（2019年が34件に対して2023年は6件）ということも関連があるかと思いますが、診断結果のエビデンスで見かける機会も減っています。

脆弱性の存在するバージョンの使用の検出内訳

（上図：2020年上半期、下図：2024年上半期）

当社が発行するセキュリティレポートでは、半期（6か月）毎にBBsec脆弱性診断の結果を集計・分析。その傾向を探るとともに、セキュリティに関する国内外の動向を分かりやすくお伝えしています。
最新号のダウンロードはこちら。

GitHubでのプルリクエスト（機能追加や改修など、作業内容をレビュー・マージ担当者やその他関係者に通知する機能）の数も2013年をピークにここ数年は5％台半ばでの微増微減を繰り返している状態になっています*3。けれど、現在稼働しているWebサイトのうち75.8％がPHPを使用している*4といわれていることも事実です。また、CMSの代名詞ともいえるWordPressはPHPで開発されているのですが、WordPress 注 2)が全Webサイトの実に43.4％で使用されています*5。つまり、WebサイトのうちPHPを使っているサイトは76％ぐらいあるけれど、半分以上はWordPressとその派生のパッケージが市場シェアを支えているという構造になっています。そのため、実際に動いているサイトのほとんどがPHPであることは間違いないですが、その大半はWordPressで、それ以外のサイトは少数派というのが現状です。

PHPの強みはWeb開発に特化した、可読性が高く学習しやすい言語である点です。小中規模でセキュリティ要件があまり高くないWebサービスやCMSであればPHPで開発するのが一番便利であり、保守性も高いでしょう。一方で、大量のデータの処理・分析が必要なケース、セキュリティへの配慮からバックエンドとフロントエンドを切り離して開発・運用する必要があるケース、パフォーマンスが重視されるケース、マルチデバイス対応が必要なケースなど、PHPでは要件を満たさないケースが出てきていることも事実です。

PHPの市場をけん引しているCMSでも、「ヘッドレスCMS」と呼ばれるタイプなど、これまでとは異なるCMSへの需要が伸びているといわれています。今後は、旧来のCMSや中小規模のWebサイトはそのままPHP、マルチデバイスやパフォーマンス、バックエンドへの特殊な処理要件やセキュリティ要件などがある場合は別の言語といった形で、さらにすみわけが進んでいくのかもしれません。そういった意味でも “WebならPHP” という時代から、”適材適所でWeb開発も言語を選ぶ” 時代になってきたといえるでしょう。

2024年のC言語

C言語系統で開発というと「2024年でもまだ？」という声が上がりそうなところですが、実際C言語系統はOSまわりでいまだに健在です注 3)。また古いプログラム（コード、ドライバなど）で互換性が保証される場合はそのまま利用されているケースもあるといわれています。つまりは、C言語系統の言語が抱える根本的な問題、メモリハンドリング（メモリの使い方の変化に伴うメモリエラーを適切に処理する能力）関連の問題もいまだにそこかしこで健在しています。この問題が特に注目を集めたのが、昨今のCrowdStrike Falconのエラーを含んだパターンファイルの配布によるBSOD（Blue Screen of Death）の大量発生です。

国内で被害多発！ランサムウェア被害を最小化するためのリスク可視化とリスクアセスメント

Security NEWS TOPに戻る
バックナンバー TOPに戻る

ランサムウェアの脅威は近年増しており、企業に甚大な被害をもたらしています。本記事では、ランサムウェアの脅威や被害の実態を紹介し、サイバーレジリエンスの重要性や、リスクの可視化の重要性と対応策について解説いたします。また、リスク可視化ツールの紹介や、企業が守るべき情報資産とその保護方法についてもご紹介します。

ランサムウェアの脅威

ランサムウェアは、データを暗号化することで使用できなくし、その復旧（復号）のために身代金を要求するマルウェアの一種ですが、昨今では「ノーウェアランサム」と呼ばれる新たな攻撃の手口が登場しました。従来のランサムウェアのようにデータを暗号化するのではなく、窃取したデータを公開すると脅し、データの公開を防ぎたければ対価を支払えと要求するものが増えてきています。このように高度化・多様化し続けるランサムウェアは、いまやサイバー空間における主要な脅威の一つと化しています。今年（2024年）も、多くのランサムウェア関連のインシデントが発生しており、大手企業、中小企業問わず多くの企業が被害を受けています。そして、ランサムウェアの脅威が増大する中、それに対応するサイバーセキュリティの取り組みも必須となってきています。

ランサムウェア被害の実態

2023年に発生した名古屋港の名古屋港統一ターミナルシステム（NUTS: Nagoya United Terminal System）が攻撃を受けた事例では、日本一の取扱量を誇る名古屋港で、輸送コンテナの積み下ろしができなくなるなどして、日本社会に非常に大きなインパクトを与えました。今年2024年も多くのランサムウェア攻撃が話題になっていますが、中でも大手出版グループがランサムウェア攻撃を受けた事例では、情報漏洩やサービス停止、物流機能や経理機能が停止するなど、様々な被害をこうむりました。同グループは2024年4～6月期連結決算で、特別損失20億円を計上しています。

2024年のランサムウェアインシデント例


時期	概要
5月頃	自治体や企業から印刷業務などを請け負っている企業がランサムウェア被害を受けたことで、複数の委託元組織の情報を漏洩した*9
5月頃	医療機関が被害を受け、電子カルテを含めた総合情報システムが停止し、患者情報も漏洩した*2
6月頃	大手出版グループが被害を受け、個人情報漏洩、サービス停止、社内システムの停止といった被害を受けた*3
6月頃	大手電機グループの関連企業がランサムウェア攻撃を受け、情報漏洩の疑いがあると発表した*4
7月頃	大手保険企業が、委託先の税理士法人がランサムウェアに感染したことで、契約者や元社員ら計約2万7800件の情報が外部に漏洩した恐れがあると発表した*5

サイバーレジリエンスの考え方

サイバー攻撃の手法は高度化・多様化しており、ランサムウェア攻撃について、完全に防ぐことは難しいと言わざるを得ません。そこで、攻撃を未然に防ぐことだけに依存するのではなく、レジリエンスを高める考え方へとシフトする必要があります。レジリエンスとは、システムや組織が攻撃や障害に直面した際に、その影響を最小限に抑え、迅速に復旧する能力を指します。これには、事前にリスクを評価し、予防策を講じることに加え、攻撃に備えた対策を整えることが含まれます。

具体的には、データの定期的なバックアップ（物理的にネットワークから切り離して保管することが望ましい）を実施することで、攻撃を受けた場合でも迅速にデータを復旧できるようにすることが重要です。また、従業員に対する教育や訓練を通じて、攻撃の兆候に気づき、適切に対応できるスキルを持たせることもレジリエンスの一環です。

加えて、事後対応として、攻撃を受けた際の対応手順を明確にし、迅速な復旧を図るための計画を策定しておくことも重要です。これにより、攻撃による業務停止やデータ流出のリスクを最小限に抑え、被害を軽減することが期待されます。レジリエンスを高めることは、サイバー攻撃が避けられない現代において、組織が安定して事業を継続させるために重要な戦略です。

リスク可視化の重要性

ランサムウェア対策において、その被害の影響範囲を事前に把握しておくことは非常に重要です。システム内の脆弱性を悪用されると、攻撃によってどのような影響が生じるかを理解し、リスクを可視化することが求められます。こうしたリスクの明確化・現状把握が、効果的なセキュリティ対策を実施するうえで欠かせない要素です。

まず、リスクの明確化とは、システム内のどこに脆弱性が存在し、その脆弱性が攻撃された際にどのような被害が発生するかを具体的に理解することです。これにより優先順位をつけて脆弱性対策を実施することが可能になります。また、リスクを明確にすることで、有効なセキュリティ対策を適切に実行することが可能となり、限られたリソースを効果的に活用することができます。これらの取り組みが、有事の被害を最小限に抑えるための体制を整えること、ひいては、組織全体のセキュリティレベルを向上させることにつながります。

リスク可視化ツール

システムなど技術的側面からだけでなく、作業手順や業務フロー、作業環境、組織のルールなどの運用面も含めてリスク評価を行うことを「リスクアセスメント」と呼びます。システムが技術的に強固に守られていても、アクセス用のIDとパスワードを付箋紙に書いてモニターに貼り付けていたら、安全は保たれるべくもありません。リスクの棚卸しによる現状把握で、優先順位をつけて対策を講じることが可能になります。

伊藤忠サイバー＆インテリジェンス株式会社からは、「ICIリスクアセスメントツール」が無料公開されています。このようなツールを利用することで、客観的な視点で組織のセキュリティ状況を俯瞰的に評価することができ、内部の盲点や見過ごされがちな脆弱性を明確にし、組織が直面するリスクの全体像を把握することができます。

“なに”を守るか、“どう”守るか

情報セキュリティのリスクに関して、最も重要であり、確実に保護しなければならないのは、「重要情報（データ）」です。リスクの洗い出しを行う際には、最初に保護すべき資産が“なに”であるかを明確にし、その次にそれらを“どのように”守るべきかという視点で考える必要があります。情報セキュリティリスクにおいて、保護すべき最も重要な資産は「情報（データ）」であり、これが適切に管理されなければ、企業にとって大きな損失となる可能性があります。リスクの洗い出しは、まず「保護すべき資産」を特定することから始まります。そして、その資産がどのように攻撃される可能性があるのか、またどのような影響を受ける可能性があるのかを把握します。さらに、以下のようなステップを通じて、保護すべき情報を特定し、効果的なセキュリティ対策を構築していくことが重要です。

セキュリティ対策は専門家に相談を

組織が直面するリスクは、業種や規模、サプライチェーンの特性、取り扱う情報の性質、システム環境の状況、そしてセキュリティ対策の度合いなど、さまざまな要素によって異なります。特に近年では、ランサムウェアによる攻撃が大きな脅威となっており、企業に甚大な被害をもたらす可能性があります。リスクを効果的に管理するためには、まず自組織が内包するリスクを客観的に見極め、ランサムウェアを含む各種リスクに対して優先度に応じた対策を検討することが重要です。

このプロセスにおいては、第三者視点でのリスクの検知と評価が不可欠です。特に、専門的な知識を持つセキュリティベンダーの協力が有効です。専門家の助言を受けることで、組織が持つ特有のリスクへの具体的な対策を講じ、リスクを最小限に抑えることが可能となります。信頼できるセキュリティベンダーと協力体制を築くことで、ランサムウェアをはじめとするサイバー攻撃から組織を守り、安全性を確保しましょう。

BBSecでは

ブロードバンドセキュリティでは、企業組織のランサムウェア対策のレジリエンスを評価するために下記サービスをお勧めしております。

https://youtu.be/PwVV86oZSnk

また、従業員への教育サービスとして以下もご用意しております。

標的型攻撃メール訓練

ウェビナー開催のお知らせ

2024年9月11日（水）14:00～14:30
「CVSSとSSVCで実践する次世代脆弱性管理：サイバー攻撃対策セミナー2024」

2024年9月18日（水）13:00～14:00
【好評アンコール配信】
「ランサムウェアの脅威を知る-脅威に備えるためのランサムウェア対策-」

2024年9月25日（水）13:00～14:00
【好評アンコール配信】
「ランサムウェア対策の要～ペネトレーションテストの効果、脆弱性診断との違いを解説～」

2024年10月2日（水）13:00～14:00
【好評アンコール配信】
「サイバー攻撃に備えるために定期的な脆弱性診断の実施を！
　- ツール診断と手動診断の比較 –」

2024年10月9日（水）13:00～14:00
【好評アンコール配信】
「システム開発のセキュリティ強化の鍵とは?
　-ソースコード診断で手戻りリスクとサイバー攻撃を未然に防ぐ-」

最新情報はこちら

Security NEWS TOPに戻る
バックナンバー TOPに戻る

2024年9月4日2025年5月12日

SQLインジェクションで航空セキュリティシステムをハッキング！あなたのフライトは安全？

Security NEWS TOPに戻る
バックナンバー TOPに戻る

近年、航空機のセキュリティはますます厳しくなってきています。しかし、私たちが安心して空の旅を楽しんでいる裏側で、実は深刻なセキュリティ問題が潜んでいることをご存知でしょうか？この度、イアン・キャロルとサム・カリーは、空港のセキュリティシステムに存在する重大な脆弱性を発見しました。この脆弱性を悪用すると、誰でも簡単に航空会社の乗組員になりすまし、セキュリティチェックなしで機内に乗り込むことが可能になります。さらには、コックピットへの不正侵入もできてしまうのです。

KCMシステムとは？

KCM（Known Crewmember）システムは、航空会社の乗務員がスムーズに空港のセキュリティチェックを通過できるようにするためのシステムです。乗務員は、特別なバーコードやIDを提示することで、通常のセキュリティ検査を免除されることができます。

脆弱性の発見

イアン・キャロルとサム・カリーが注目したのは、KCMシステムを運営しているベンダーの一つであるFlyCASSという会社でした。FlyCASSのシステムには、SQLインジェクションという脆弱性が存在しており、この脆弱性を利用することで、誰でもシステムに不正にアクセスし、乗組員の情報を自由に書き換えたり、新しい乗組員を追加したりすることが可能になっていました。

問題の深刻さ

この脆弱性がもたらす影響は計り知れません。

セキュリティの崩壊: 航空機のセキュリティの根幹を揺るがすものであり、テロなどの悪質な行為に悪用される可能性も否定できません。
乗客の安全への脅威: 不正に機内に乗り込んだ人物が、機内で暴れたり、機体を操作したりする可能性も考えられます。
航空業界への信頼の失墜: このような重大なセキュリティ問題が発覚した場合、航空業界全体の信頼を失墜させ、人々の航空機に対する不安感を煽る可能性があります。

開示とその後

イアン・キャロルとサム・カリーは、この問題の深刻性を認識し、速やかに関係各機関に報告しました。しかし、残念ながら、問題の修正には時間がかかり、また、関係各機関からの対応も遅々として進まなかったという現状があります。

対策

この問題を解決するためには、以下の対策が急務です。

脆弱性の迅速な修正: FlyCASSをはじめとする関連企業は、脆弱性を早急に修正し、システムの安全性を確保する必要があります。
セキュリティ意識の向上: 航空業界全体で、セキュリティに対する意識をより一層高め、定期的なセキュリティ監査を実施する必要があります。
法整備の強化: 航空機のセキュリティに関する法整備を強化し、このような事態が再び起こらないようにする必要があります。

まとめ

今回の発見は、航空業界のセキュリティシステムを信頼しきってはいけないことを示すものであり、私たちに大きな警鐘を鳴らしています。私たちは、この問題をきっかけに、より安全な航空業界の実現に向けて、社会全体で取り組んでいく必要があるでしょう。

サイバーインシデント緊急対応

ウェビナー開催のお知らせ

2024年9月11日（水）14:00～14:30
「CVSSとSSVCで実践する次世代脆弱性管理：サイバー攻撃対策セミナー2024」

2024年9月18日（水）13:00～14:00
【好評アンコール配信】
「ランサムウェアの脅威を知る-脅威に備えるためのランサムウェア対策-」

最新情報はこちら

Security NEWS TOPに戻る
バックナンバー TOPに戻る

2024年8月21日2025年8月13日

KADOKAWAランサムウェア被害状況

Security NEWS TOPに戻る
バックナンバー TOPに戻る

KADOKAWAグループが大規模なランサムウェア攻撃を受け、25万人以上の個人情報が外部に漏洩した事件の詳細が明らかになりました。本記事では、憶測、推測や犯罪者グループの声明をもとにした情報を排除してKADOKAWAグループからの公式発表をもとに漏洩情報の内容、対応策、そして今後の対策について解説します。

KADOKAWAグループ、
大規模サイバー攻撃による情報漏洩事件の全容を公開

【事件の概要】

2024年6月8日、KADOKAWAグループを襲った大規模サイバー攻撃の詳細が明らかになりました。この事件は、ニコニコ動画を中心としたサービス群を標的とし、グループの複数のサーバーにアクセスできない障害として始まりました。

【漏洩した情報の詳細】

調査の結果、この攻撃により合計254,241人分もの個人情報が外部に流出したことが判明しました。被害者には、ドワンゴ関連の取引先、元従業員、面接者、N中等部・N高等学校・S高等学校の関係者、角川ドワンゴ学園の従業員などが含まれています。漏洩した情報は氏名、生年月日、住所、電話番号、メールアドレス、口座情報など多岐にわたります。さらに、一部の契約書や社内文書といった企業情報も流出しており、被害の規模の大きさを物語っています。

【対応策】

KADOKAWAグループは迅速な対応を行い、専用のお問い合わせ窓口を設置するとともに、個別に対象者へ連絡を取っています。また、漏洩した情報の削除申請も積極的に実施しています。

【原因と再発防止策】

今回の事件の原因は、フィッシング攻撃による従業員アカウント情報の窃取であると推測されています。再発防止策として、KADOKAWAグループはセキュリティ専門企業の助言を受けながら、さらなる対策を講じる方針を示しています。

【二次被害防止への取り組み】

二次被害を防止するため、同グループはSNSや匿名掲示板での情報拡散行為に対する監視を強化しています。悪質な投稿に対しては削除要請と発信者情報開示請求を行い、必要に応じて刑事告訴・告発の準備も進めています。

【注意喚起】

KADOKAWAグループは、漏洩情報の拡散行為が法的措置の対象となる可能性を強調し、一般ユーザーに対してもフィッシングメールなどの不審なメールへの注意を呼びかけています。

【まとめ】

この事件は、企業のサイバーセキュリティ対策の重要性を改めて浮き彫りにしました。KADOKAWAグループは今回の事態を重く受け止め、セキュリティ体制の強化と再発防止に全力を尽くすとしています。個人情報の取り扱いに関する企業の責任が厳しく問われる現代社会において、今後の対応と情報セキュリティ対策の進展が注目されます。

情報漏洩、ランサムウェア攻撃などの脅威が増大する中、企業はより一層の警戒と対策が求められています。この事件を教訓に、多くの企業が自社のセキュリティ体制を見直し、同様の事件防止に向けた取り組みを強化することが求められます。

本記事は以下のKADOKAWAグループ公式発表をもとに作成しています。情報漏洩に関するお問い合わせは以下URLよりKADOKAWAグループの専⽤窓⼝へご連絡ください。

https://tp.kadokawa.co.jp/.assets/240805_release_f2Alq0nH.pdf

なお、本件については様々な推測や憶測が飛び交っていますが、そういった情報を安易にSNS上等で公開することは犯罪者グループの活動に寄与してしまう可能性があることに注意が必要です。

また本件をきっかけに自身の個人情報がダークウェブ上に公開されていないかを懸念される方もいらっしゃるかと思いますが、実際にダークウェブへアクセスするなどの行為は大変危険です。おやめください。

自身の情報がダークウェブへと流出していないかを調べるには、Googleなどが提供している専用のモニタリングツールを用いるのが有効な策です。
Googleの「ダークウェブレポート」をご活用ください。

詳細は以下のGoogleのヘルプをご参照ください。
https://support.google.com/googleone/answer/13632847?hl=ja

サイバーインシデント緊急対応

ウェビナー開催のお知らせ

2024年8月21日（水）14:00～15:00
「ランサムウェア対策の要～ペネトレーションテストの効果、脆弱性診断との違いを解説～」

2024年9月4日（水）14:00～15:00
「インシデント発生の事前準備・事後対応 -拡大するサイバー攻撃への対策方法とは- 」

2024年9月11日（水）14:00～14:30
「CVSSとSSVCで実践する次世代脆弱性管理：サイバー攻撃対策セミナー2024」

2024年9月18日（水）13:00～14:00
【好評アンコール配信】
「ランサムウェアの脅威を知る-脅威に備えるためのランサムウェア対策-」

最新情報はこちら

Security NEWS TOPに戻る
バックナンバー TOPに戻る

2020年通販サイト(日)*8	約6,300件漏洩パスワードを平文で保存
2020年カード決済事業者(米)*9	約250万件漏洩クレジットカード情報を平文で保存
2019年ファイル送信サービス(日)*10	約480万件漏洩パスワードを平文で保存	⇒サービス終了
2018年航空会社(中)*11	940万件漏洩バックアップファイルを平文で保存	⇒多額の制裁金等
2017年信用情報機関(米)*12	約1億4,500万件漏洩ユーザデータを平文で保存	⇒格付け引き下げ、多額の制裁金等
2014年通信教育会社(日)*13	約3,500万件漏洩内部関係者による犯行	⇒刑事裁判での過失責任認定等

突如訪れた暗黒の10月25日

静かなる侵略者「RedTail」の恐怖

72時間の闘い：システムを守る最後の砦

未曾有 (みぞう) の混乱がもたらした教訓

新時代のデジタルセキュリティへの挑戦

警鐘：すべてのデジタルサービスへの警告

ウェビナー開催のお知らせ

現代の暗号技術が直面する課題

量子コンピューターによる脅威

暗号化されていないデータの活用リスク

量子コンピュータの脅威に対抗：耐量子暗号

「暗号の2030年問題」とは？

暗号技術の標準化動向

暗号化とデータ活用の両立：高機能暗号技術

現在主流の暗号方式の種類

暗号化されていないデータの活用リスク

暗号化されていなかったことにより個人情報が漏洩した事例

安全な暗号技術導入のために必要なポイント

安全に暗号技術を活用するためにやっておくべきこと

環境・システムへの暗号化実装による実効性確認のポイント

確認方法の例

参考情報：暗号化実装に関するガイドラインの紹介

ウェビナー開催のお知らせ

ランサムウェア攻撃の概要

ランサムウェア攻撃発生から公表までの流れ

漏洩した情報

攻撃の影響

対応策

今後のセキュリティ対策

まとめ

ランサムウェアとは？

ウェビナー開催のお知らせ

何が起きたのか？

現在の影響と対応

今、ユーザにどんな影響が？

何が問題になっているの？

業界全体への影響は？

どう対応すればいい？

この先どうなるの？

まとめ

ウェビナー開催のお知らせ

■脆弱性の概要

■この脆弱性がもたらすリスク

■対策方法

即時アップデート

セキュリティツールの活用

システム全体のセキュリティ強化

■注意点

■まとめ

ウェビナー開催のお知らせ

事件の概要

事件の経緯

漏洩した情報の詳細

個人情報

クレジットカード情報

影響を受けた顧客数

個人情報漏洩

クレジットカード情報漏洩

漏洩の原因と手口

対応と今後の対策

関連記事

顧客がとるべき対策

情報セキュリティの重要性

継続的なセキュリティ対策の実施

従業員教育の徹底

インシデント対応計画の策定

法令遵守の徹底

まとめ

BBSecでは

サイバーインシデント緊急対応

SQAT® 脆弱性診断サービス

2020年から2024年で変わったこと

生成AIの汎用化

ノーコードとローコード

プログラミング言語

プログラミング言語と適材適所

脆弱性の存在するバージョンの使用の検出内訳

2024年のC言語

関連情報

ランサムウェアの脅威

SQAT^® 脆弱性診断サービス

KADOKAWAグループ、
大規模サイバー攻撃による情報漏洩事件の全容を公開