シンジです。ここ最近ニュースが情報漏えいで溢れていますが、発表しているのは氷山の一角に過ぎません。話題になることなく対応しているケースがほとんどです。
担当者は地獄です。休みも返上し、睡眠時間も削っていることでしょう。本当にご苦労様です。
ところでこうは思いませんか。なぜ我が社は大丈夫なのか。そもそも大丈夫とは一体なんなのか。
ここ最近の多数の事例を元にして、想像したのが今回の「情報漏えいの起こし方」です。
1. 製品を買ったら、運用も始まったことにする
「去年、ちゃんと入れましたよね」
導入プロジェクトは完了した。運用の担当者は、これから決めることになっていた。
製品は不審な動きを検知していた。ただし、業務への影響を避けるため、自動で止める機能は無効にしてある。通知先は、導入プロジェクト用のメーリングリストだった。
侵入した攻撃者は、そのまま顧客データを持ち出した。
事故後に開いた管理画面には、あの日の警告がきれいに残っていた。製品の性能を疑う人はいなかった。
2. 「予算がない」を、役員に聞く前に言う
保守の切れた装置を更新したい。担当者は、費用と、放置した場合に外部から侵入されるリスクを資料にまとめた。
「どうせ今年は通らないよ。今あるもので工夫して」
部長がそう言い、資料は下書きのまま残った。装置も残った。既知の脆弱性を悪用され、社内の情報を取られたあと、取締役は言った。
「必要なら、なぜ申請しなかったんですか」
申請番号の欄は、最後まで空だった。
3. 役員には、セキュリティより使いやすさを提供する
「認証が毎回面倒なんだよ」
役員のアカウントだけ、多要素認証の対象から外した。現場の担当者には、その例外を取り消す権限がなかった。
しばらくして、偽のログイン画面でパスワードが盗まれた。
攻撃者が開いたメールボックスには、買収の検討資料と、取引先との契約交渉が入っていた。
全社員向けの研修では、その年も「多要素認証を徹底しましょう」と案内していた。
4. 「一時的」という言葉に、有効期限の役割をさせる
商談用のデモ環境を、外部から見られるようにした。顧客の問い合わせデータを使い、検索の便利さを見せるためだった。
「商談が終わるまでなので」
担当営業が異動し、商談は失注した。デモ環境を閉じる仕事は、誰にも引き継がれなかった。
半年後も、認証なしで同じデータが読めた。外部の人物が見つけ、持ち帰った。
社内で見つかった最後の記録は、「一時公開を承認する」だった。
5. 攻撃者にも、繁忙期明けまで待ってもらう
「今止めると売上に響くので、更新は来月で」
インターネットに公開しているシステムの修正プログラムが出た。担当者は停止時間を相談したが、繁忙期が終わるのを待つことになった。延期中の公開範囲も、そのままにした。
攻撃者が来たのは、その週だった。修正されていない脆弱性から侵入し、注文情報を取得した。
翌月の作業予定表には、まだ「セキュリティ更新」と書かれていた。
6. 異動のたびに、権限を足していく
営業から人事へ、人事から経営企画へ。
異動のたびに必要な権限を追加した。以前の部署の権限は、引き継ぎに使うかもしれないので残した。引き継ぎが終わったか、確認する人はいなかった。
その社員のアカウントが乗っ取られた。
攻撃者は、営業資料も給与情報も経営会議の資料も読めた。
人事システムには、立派な職歴が残っていた。アクセス権にも、同じ職歴が残っていた。
7. 退職手続きは、パソコンが戻れば完了にする
パソコンを回収し、社員アカウントを停止した。退職手続きのチェック欄は、すべて埋まった。
その社員が発行した、外部サービス連携用のAPIキーは残っていた。社員アカウントを止めても、キーは失効しない。誰が発行したものかを管理する台帳もなかった。
後日、古い作業用リポジトリからキーが流出した。攻撃者は、そのキーで顧客データを取得した。
ログに記録されたのは「システム連携」。退職者の名前は出てこなかった。
8. テスト環境には、本番データを丸ごと置く
「ダミーだと、本番と同じ不具合が出ないんですよ」
開発用に、顧客データを丸ごとコピーした。名前も住所も本人確認書類も、そのままだった。
テスト環境は手間を省くために簡単な認証で動かしていた。その認証情報が流出し、保存されていたデータを取られた。
本番システムの厳重な防御は、最後まで破られなかった。
調査会議で担当者がつぶやいた。
「でも、あれはテスト用です」
9. 使わなくなったデータほど、判断を先送りする
「消したら、あとで必要になったら困りますよね」
退会者のデータをどうするか、という会議はそれで終わった。利用目的も保存期限も、次回までに整理することになった。
次回は開かれなかった。
数年後、会員システムへの侵入が起きた。漏えい対象を数えると、現会員より退会者のほうが多かった。
会社には、その人たちに届く連絡先を調べ直す仕事が回ってきた。
10. 暗号化したら、鍵も一緒に渡せる場所へ置く
「バックアップは暗号化しています」
確認票には、迷わず丸を付けた。復旧で困らないように、復号用の鍵と手順書も同じ保管先に置いた。同じアカウントで、全部取り出せる。
その保管用アカウントが乗っ取られた。
攻撃者は、暗号化されたファイルと、鍵と、図入りの手順書を手に入れた。
後任者のために丁寧に書いた手順は、社外の人にも分かりやすかった。
11. 委託が終わったら、確認する仕事も終わりにする
通販サイトを移行した。新しい委託先との契約を結び、古い委託先への支払いを止めた。
「移行完了ですね」
旧環境の顧客データが削除されたかは、確認しなかった。委託先は、問い合わせが来たときのために保管を続けていた。
翌年、その旧環境が侵害された。
漏えいの連絡を受けた担当者は、まず契約書を探した。
「そこ、まだうちのデータを持っていたんですか」
12. 会社のアカウントでログインできたら、安全なアプリとみなす
会議の準備を助けてくれる、便利そうなアプリだった。
「会社のアカウントでログインできるんですね」
画面には、メールを読み取る権限を求める表示が出た。社員は同意した。会社側では、どんなアプリに、どこまでの権限を渡せるかを制限していなかった。
アプリの運営者は、付与された権限でメールを取得した。無料の便利機能は、その権限を集めるために用意されていた。
ログイン自体は、いつもどおり正しく認証されていた。
13. 多要素認証を入れたら、端末のことは忘れる
「パスワードだけでは入れませんから」
その会社は、多要素認証を導入した。ブラウザーの拡張機能は、社員が自由に追加できた。
便利そうな拡張機能が、ログイン後のセッション情報を盗んだ。攻撃者は、盗んだ情報が有効な間にクラウド上の資料を取得した。
社員のスマートフォンに、新しい認証要求は来なかった。
「不審な承認通知はありませんでしたか」
調査で聞かれた社員は、正直に「ありません」と答えた。
14. リンクを知っている人は、全員関係者ということにする
「取引先がログインできないそうです」
顧客名簿の共有設定を、「リンクを知っている全員」に変えた。有効期限は設けなかった。送信先を指定して制限する設定も使わなかった。
後日、取引先のメールボックスが侵害され、共有リンクも攻撃者に渡った。
アクセスすると、名簿が開いた。
月次報告の「不正ログイン件数」は、ゼロのままだった。
15. アラートの件数で、運用の成果を測る
監視対象を増やすたびに、通知が増えた。誰が内容を確認するかは変わらなかった。
「今月は五千件を検知しました」
報告書には、右肩上がりのグラフが載った。日々の通知は、メールのルールで専用フォルダーへ自動振り分けされていた。
侵入した攻撃者が大量のデータを読み出したときも、通知は正常に届いた。ほかの通知と一緒に、誰にも開かれなかった。
翌月のグラフには、その一件も加わった。
16. 止めた人だけ、会議で理由を説明させる
以前、不審な通信を止めた社員がいた。結果は誤検知だった。
「誰の許可を取ったんですか」
一時間かけて説明した。次からは、事業部の承認を得てから止めることになった。夜間に誰が承認するかは決まらなかった。
次の不審な通信は、本物だった。
深夜、担当者は承認を求めた。返事を待つ間にも、顧客データの転送は続いていた。
翌朝、返事が来た。
「状況を確認して、適切に対応してください」
いずれにしても
高度で巧妙なIT攻撃被害に遭っているなどというのは幻想です
