もう1つ、数字の扱いにも注意したい。第三報は、136万563アカウントの個人情報がすべて外部へ流出したと発表したものではない。
販売管理システムに保存されていた会員情報などについて、第三者に閲覧または取得された可能性がある一方、データが外部へ持ち出されたことを裏付ける明確な事実は確認されなかったとしている。また、現時点では情報の不正利用などの二次被害も確認されていない。
したがって、「136万人の個人情報が流出した」と表現するのは正確ではない。不正アクセスを受けたこと、情報を閲覧・取得された可能性があること、情報が実際に外部へ持ち出されたこと。この3つは分けて考えなければならない。
今回、「さくらのレンタルサーバー」のメンテナンス用サーバーで異常を検知し、販売管理システムへの不正アクセスが見つかった。さらに過去の記録を調べると、レンタルサーバーでは25年7月以降の不審な活動の痕跡が見つかり、販売管理システムへの不正アクセスは23年4月まで遡った。
8月9日に異常を検知しなければ、これらはどうなっていただろうか。起きなかったことを推測して結論を出すことはできないが、今回明らかになった過去の不正アクセスの一部が、8月9日の異常を契機とした詳細調査によって見つかったことは事実である。
怖いのは「見えていなかった時間」
企業には定期的な「不正アクセスの棚卸し」が必要だ。サイバー攻撃への対策というと、ファイアウォール、ウイルス対策、多要素認証など、侵入を防ぐための仕組みに目が向きやすい。それらが必要であることに異論はない。だが、「すでに侵入されていないか」を調べる対策も必要である。
ログに不自然な記録はないか。覚えのない管理者アカウントが作られていないか。本来必要のない外部との通信が発生していないか。設定が変更されていないか。見覚えのないプログラムが動作していないか。事故が発生してから調べるのではなく、何も起きていない時にも定期的に確認する。
さくらインターネットも再発防止策として、管理者権限やアクセス権限の総点検、監視対象と検知機能の拡充、ログの取得範囲・保存期間・分析体制の見直し、定期的な外部監査と第三者評価などを挙げている。「不正アクセスの棚卸し」とは、こうした作業を日常的、定期的に行うことである。
サイバー攻撃は、発見された日に始まったとは限らない。不正アクセスが発生していても、不正アクセスを把握できていなければ「見えていない時間」が生じる。時間が経過してから不正アクセスが見つかっても十分な記録が残っておらず、具体的な侵入経路や顧客情報への影響を客観的に確認できない部分も出てくる。それは怖いことである。
事故が起きた時にだけ調査するのではなく、何も起きていないように見える時にも、本当に何も起きていないのかを調べる。今回の第三報から企業が学ぶべきことは、この点ではないだろうか。
※ログイン後、コメント入力が可能です。