ここ最近、大規模な情報漏洩のニュースが増えています。
その背景には、AIによって脆弱性の発見や侵入が容易になったことも影響しているのだと思います。
この2か月で起きた主な情報漏洩
この2か月で起きた大きな漏洩には、以下のようなものがあります。
| 公表日 | 企業・サービス | 規模・状況 | 流出した情報・流出のおそれがある情報 |
|---|---|---|---|
| 9/11 | デジタル庁 | 約24.6万件・可能性 | 政府職員などの個人情報。VPN機器の脆弱性を悪用 |
| 9/16 | Gyazo（Helpfeel） | 約2,362万アカウント・確認 | メール、ハッシュ化パスワード、ID、認証関連情報、画像メタデータ。一部画像432件の閲覧・取得も確認 |
| 9/28 | タイムズカー | 約663万件・確認 | 氏名、住所、生年月日、電話、メール、運転免許情報、本人確認書類画像約146万件の外部送信痕跡 |
| 9/28 | 手間いらず（宿泊予約管理） | 最大約445万人・可能性 | 氏名、電話、メール、宿泊施設、宿泊日程、宿泊料金など |
| 9/29 | セイコーマート | 約57万人・対象判明 | アプリ登録会員情報 |
| 10/1 | 佐川急便 | 最大約5,323万件・可能性 | 送り状の依頼主・配送先氏名、住所、電話、会員情報、メールアドレス。カード情報は対象外 |
| 10/2 | ヤマト運輸 | 利用者約526万件ほか・確認 | 氏名、住所、電話、メール、商品明細、配送関連情報。カード情報は対象外 |
| 10/5 | 焼肉きんぐ | 約1,079万件・確認 | 会員番号、登録名、メール、電話番号 |
| 10/6 | ミスターマックス | 最大約174万人・可能性 | アプリ・オンラインストアの会員情報 |
| 10/8 | 第一興商（ビッグエコーなど） | 約872万件・可能性 | 顧客・従業員関連情報。実際の外部流出は未確認 |
| 10/9 | skyticket | 約1,464万件・確認、追加調査中 | 氏名、連絡先、パスワード情報、カード番号・名義・有効期限、銀行口座情報、旅行保険申込情報など |
| 10/9 | ブックオフ | 約638万人・確認 | 氏名、住所、電話、メール、生年月日、性別、会員番号、ハッシュ化パスワード。カード情報は対象外 |
| 10/13 | 銀のさら・釜寅など | 最大約650万件・可能性 | 氏名、住所、電話、メール、生年月日、注文履歴、ハッシュ化パスワード |
| 10/15 | バーガーキング | 約1,118万件・確認 | 氏名、電話、メール、性別、生年月日、会員ID、注文履歴の有無など |
| 10/15 | ソースネクスト | 約2,252万件・可能性 | メール、パスワード、氏名、住所、電話、生年月日、会社名など |
| 10/19 | 阪急阪神百貨店（H2O ID） | 約126万件・確認 | 氏名、住所、電話、メール、生年月日、会員ID。カード番号の一部などは調査中 |
| 10/19 | ユミルリンク（Cuenote FC） | 延べ約5,163万件・可能性 | メールアドレス、氏名、配信先の付随情報、メール配信記録など。委託元多数 |
| 10/20 | ふるさとチョイス | 約445万件・確認 | 氏名、住所、電話、メール、パスワードハッシュ、寄附控除試算額、一部カード下4桁・有効期限 |
| 10/22 | カプコン | 約1,177万件・確認 | メールアドレス、アカウント作成・ログイン情報、IPアドレス。一部氏名・住所・購入履歴など |
| 10/30 | 良品計画（MUJIアプリ） | 最大約2,726万件・可能性 | メールアドレス、生年月日、性別。カード情報、氏名、住所、電話は対象外 |
| 10/30 | 松屋フーズ | 約238万件ほか・確認 | 氏名、住所、電話、メール、会員ID、ポイント情報、暗号化パスワードなど |
| 10/30 | ワールド（ティンパンアレイ） | 延べ約120万件・可能性 | 氏名、住所、電話、生年月日、性別、メール。決済情報は対象外 |
特に10月は、上の表に上げた比較的大きなものだけでも17件発生しており、2日に1回は大規模な漏洩が起きていた計算になります。
自分も対象となったソースネクストの漏洩
中でも重大なのは、クレジットカード番号が流出したskyticketと、生パスワードが流出したソースネクストです。
そして最近の漏洩で自分がアカウントを持っていたのは、ソースネクストだけでした。
普段はソースネクストからソフトを購入しようなどとは思わないのですが、以前ある外国製ソフトを非常に安く売っていたので、それを購入するためにアカウントを作ったようです。
今回の漏洩にクレジットカード情報は含まれていませんが、そもそも自分は余り信用出来ないサイトにカード情報を渡したくなかったので、決済にはAmazon Payを使用しました。
その結果メインのメールアドレスがIDとして登録されてしまい、使い回していたパスワードまで流出してしまいました。
一応パスワードは暗号化して保存されていたそうですが、侵入されたAPIが復号鍵にアクセス出来るものだったため、パスワードは復号された状態で流出したとのことです。
安さの理由
skyticketとソースネクストの共通点は、どちらも格安でサービスや商品を提供していることです。
格安の商品やサービスを見ていつも思うのは、安さにはそれ相応の理由があるということです。
大概の場合、何かを削っているか安いものに置き換えているからこそ、安さを実現出来ています。
20年前の話
ところで、ソースネクストの有名なソフトに「ZERO ウイルスセキュリティ」（発売当時は「ウイルスセキュリティZERO」）があります。
これが発売された20年前、同僚が安くて凄くいいと喜んで使っていましたが、自分は止めた方がいいと忠告していました。
何故ならウイルスの進化は日進月歩で、それに対応するにはかなりの研究費を投じる必要があるからです。
そこにコストをかけなければ、他の対策ソフトとの間に性能差が出てしまうのは必然です。
一応このソフトはインドのK7 Computing社のOEMですが、本家の製品も当初は廉価の買い切り型だったものが、かなり以前からサブスクに移行したそうです。
なのでZEROがずっと安く使えることにも理由はあるのですが、本家と同じ金額を払っていない以上、どこかで必ずしわ寄せがある筈です。
例えばメジャーアップデートの提供が遅れれば、個人をターゲットとしたゼロデイ攻撃には対応出来ないということは認識しておくべきです。
削られやすいセキュリティ対策
先程、格安サービスは何かを削っていると書きましたが、安易に削られやすいのがセキュリティ対策です。
セキュリティ対策は顧客の目には見えづらく、何も起きなければ無駄な出費になってしまいます。
ただしAIによって以前より情報を盗むことが容易になり、また国を挙げて情報を狙っている者もいる現状を考えれば、セキュリティ対策を疎かにすることは、企業として到底あり得ません。
杜撰なパスワード管理
ソースネクストはITmedia NEWSの取材に対し、システムの開発時期が古く当時の暗号化方式を使い続けていたため、最新のハッシュ化方式へ移行出来ていなかったと説明しています。
これは正に、セキュリティにお金をかけていないと言っているに等しいでしょう。
ちなみに最新のハッシュ化方式と言っていますが、パスワードのハッシュ化自体は何十年も前から知られているセキュリティの基本です。
そもそもハッシュ化していなかった以上、問題は「最新」かどうかではなく、言い逃れにしかなっていません。
更にセキュリティでは常に最悪の事態に備える必要があり、漏洩も想定した対策が求められます。
暗号化されていたとは言え生パスワードに復元出来る形で保存し、ましてやその復元機能を攻撃者が使える状態にしておくなど、監査を受けていれば普通に指摘されるポイントです。
そもそも監査を受けていなかったのか、それとも指摘を受けていたにもかかわらず是正しなかったのかは、正直分かりません。
いずれにせよ、セキュリティソフトを売っている企業とは思えない杜撰さです。
結局のところ、こういった企業の怠慢によって被害を受けるのは、そのサービスを利用しているユーザの方なのです。
安かろう悪かろうの企業には、早く淘汰されて欲しいものです。
コメント