設定ミスが狙われる

　ケース9は私が一番うなった事例です。これは、インターネットからアクセスできる機器に、不要なアカウントが残っていたことで仮想通貨のマイニングツールが不正に配備されてしまった例です。

ケース9（出所：NISC「サイバー攻撃を受けた組織における対応事例集」）

　これは、昨今注目を集めてしまっている、「設定ミス」が引き金となっている攻撃の一例です。クラウドサービスは簡単に設定ができ、組織に合った使い方が柔軟にできる反面、ともすると情報が誰からもアクセスできるようになるなど、設定ミス起因のインシデントが目立つようになりました。

　本件は、不要なアカウントに対し、辞書攻撃により弱いパスワードを持つアカウントに不正アクセスが行われ、さらにその奥まで侵入された事例です。

　特筆すべきは、これに対する迅速な対応もさることながら、本ケースの冒頭に書かれたこの一文です。

本ケースは、SBテクノロジー株式会社の要望により、社名を明示するものです。

※出所：NISC「サイバー攻撃を受けた組織における対応事例集」）

　これは失敗事例に近いものであるにもかかわらず、社名を明記しているのはびっくりしました。このインシデントはSBテクノロジーでも詳細な報告があり、5年が経過したいまも掲載され続けています。

　また、この事例における被害軽減に寄与した施策も一見の価値があります。

異常認知時は、原因究明を待たずに、社員が通報する企業文化の情勢と仕組み整備を進めていたことから、遅延なくインシデント対応に着手できた。誤報・ミスを恐れて連絡しないことがないように、誤報・ミスであっても責任を問わないことを社長も発信し、報告して怒られることはなく、第一報が遅いと逆に怒られる、という文化を醸成してきた。インシデント発生時も、組織の問題であり、起こしたものを責めないことを全社宛にメールを通じて発信してきた。

※出所：NISC「サイバー攻撃を受けた組織における対応事例集」）

　これには脱帽です。私もSBテクノロジーの方と話をすることがあるのですが、まさに上記のような体制をとっていると話していたことを思い出します。

　事例を聞くというと、どうしてもどの製品を使っているのかということに目が向きがちです。しかし、組織の文化や明日にでも取り入れられることだって、事例の中に含まれています。今回の資料は大変有用で、今回紹介したのはごく一部でしかありません。皆さんもぜひ、各社の事例から自分の組織でも生かせるポイントを探してみてはいかがでしょうか。

⇒ 新着ホワイトペーパーをチェックする

著者紹介：

宮田健（みやた たけし）

元＠ITの編集者としてセキュリティ分野を担当。現在はフリーライターとして、ITやエンターテインメント情報を追いかけている。自分の生活を変える新しいデジタルガジェットを求め、趣味と仕事を公私混同しつつ日々試行錯誤中。

2019年2月1日に2冊目の本『Q＆Aで考えるセキュリティ入門「木曜日のフルット」と学ぼう！＜漫画キャラで学ぶ大人のビジネス教養シリーズ＞』（エムディエヌコーポレーション）が発売。スマートフォンやPCにある大切なデータや個人情報を、インターネット上の「悪意ある攻撃」などから守るための基本知識をQ＆Aのクイズ形式で楽しく学べる本です。

筆者より：TechFactoryでの本連載では、ITセキュリティの「あるべき論」「正論」だけでなく、モノづくりに携わる方たちに「気楽に」「楽しく」セキュリティを考えていただけるように、さまざまな話題を取り上げたいと思います。「セキュリティっていわれてもねえ……」と思わず考えてしまった皆さんに覚えていただけるようなコラムにしたいと思います。お楽しみに！