憲明02月5日、韓国国内のネットオークションサイトにて、ハッキング被害により個人情報が流出したことが明らかとなりました。今回は、この事件を振り返り学ぶべき教訓について考えてみたいと思います。■ネットオークション一般消費者の電子商取引市場は年々拡大しています。経済産業省の「平成18年度電子商取引に関する市場調査」(参考情報1.)によると、日本の消費者向け電子商取引の市場規模は、4兆3,910億円(前年比27.1%増)。いわゆる、ネットオークションと呼ばれる分野に注目が高まっていることが報告されています。情報通信白書」:参考情報2.)。情報通信白書」より抜粋)こうした背景には、ネットワークの進展とオークションサイト運営者の努力による、オンライン取引の信頼性向上が寄与しているものと推測されます。韓国においても、日本同様にネットオークションが盛んです。1998年にサービスを開始した「株式会社オークション(www.auction.co.kr)」は、会員数1800万人を越えるオークションサイトです。今回、同サイトにて外部からのハッキング攻撃により、会員の個人情報と払い戻し情報の一部が流出したことが明らかとなっています。公式発表ではハッキングシナリオを公表していません。このため、シナリオの真偽は定かでありませんが、報道機関から漏れ伝わってくる攻撃シナリオは攻撃の原則に則したものでした。朝鮮日報(参考情報4.)によると、悪意あるユーザが「(株)オークション」の従業員に対し、ウイルスを含むスパムメールの大量配信を実施、開封を行った従業員からユーザID/パスワードを不正入手。それを切り口に個人情報を含むデータベースに対するハッキングが行われたと報じています。巧みな悪意あるユーザであれば、本来目的とする最重要機密情報(データベース)へアクセスするようなことはありません。組織に存在する小さな亀裂ともいえる脆弱箇所を探し、そこから本来の目的に向けて切り開いていきます。することで、多段に構成された防御壁を突破し、侵入の痕跡を最小限にすることで、侵入の事実把握を困難なものにします。このシナリオではスパムメールによって、脆弱箇所の探索が行われています。従業員のリテラシーを信頼した対策に限界があることが見えてきます。別の報道(参考情報6.)では、「SQLインジェクション」の可能性も報じられています。セキュリティ10大脅威の第1位として報告されています。日本国内の開発関係者にとっても、その対策に苦慮されている攻撃手法なのではないでしょうか。「SQLインジェクション」はデータベースと連携するウェブアプリケーションからの命令文において、組み立て方法に十分な考慮がなされていれば防ぐことのできる攻撃手法です。このシナリオも開発工程における小さな考慮不足から大規模なハッキングに至ったといえるのではないでしょうか。メンバーID、住所、電子メール、電話番号といった個人情報が流出の被害対象とされています。大規模な個人漏洩被害が発生した場合、心配されるのが二次被害です。直接的に金銭につながる情報が流出していないとしても、悪意あるユーザは大量に得た個人情報を悪用し、次のようなことを試みます。「JOEアカウント」とは、ユーザ名とパスワードが一致しているアカウントを指す用語です。昨今のWEBサービスではアカウント作成時にパスワードの強度を確認し、JOEアカウントのような脆弱な登録をブロックしているケースもあります。したチェックが行われていないところでは、いまだ脆弱なアカウントが氾濫しているのが実情です。辞書攻撃ランダムに並べられた数字やアルファベットからなるパスワードを記憶するのは、難しいものです。このため、意味ある情報を組み合わせてパスワードを作成することが多いです。今回漏洩被害が報告されている個人情報は組み合わせの基とする可能性の高い情報です。悪意あるユーザの間では、辞書に載っている言葉を片っ端から試してパスワードを解析するソフトウェアが流通しています。したソフトウェアに与える辞書として、今回のハッキング攻撃で入手した個人情報を利用することにより、より高い確率でパスワード認証を突破することが可能となります。最近は至るところでパスワードの登録を求められます。何十ものサイトでログインの際に入力を求められるパスワードを使い回しているケースも考えられます。した背景から、一つのサービスに対する被害を契機に、他のサービスに対する侵入被害に至る危険性も考えられます。最近は、スパムメール対策のため複数の電子メールアドレスを使い分けているケースも見られます。いった対策を講じている場合においても、今回のように金銭の受け取りが発生するサービスに登録してある電子メールアドレスは重要度の高いものと考えられます。今回流出した情報から作成されるスパム配信名簿はスパム配信業者にとって価値の高いものになると考えられます。■学ぶべき教訓とは今回のハッキング被害を通じて学ぶべき教訓とは何でしょうか。管理者向け、利用者向けそれぞれについて紹介させていただきます。異常を早期に検出するには、定常状態を把握しておく必要があります。セキュリティ対策製品による検出結果数の推移に注目することで傾向を知ることができます。administration)これは、許可された作業を実行するために必要最小限の特権だけを各ユーザに与える管理手法です。特権を絞り込むことで、不正利用が起こりにくくなり、セキュリティコストの削減効果も期待できます。ウイルスがシステムに与える影響範囲の縮小効果も期待できます。開発段間からのセキュリティ対策を実施SQLインジェクションには、SQL文の組み立てにエスケープ処理を実装することが有効です。データベースが返答するエラーメッセージの出力を抑制することも予防策となります。これら対策を実施するには開発段階からセキュリティ対策を考慮する必要があります。技術による対策が進んだと言え、利用者への啓蒙活動は軽視すべきではありません。利用者すべてが組織のセキュリティポリシーを共通認識とすべく、周知徹底する必要があります。意味ある言葉の組み合わせはパスワードとして避けてください。これにより、辞書攻撃に対する耐性を高めることができます。パスワードの使い回しをしないすべてのサービスが高いセキュリティレベルで保護されているとは限りません。使い回しをしている場合、万が一盗まれたり破られたりすると、すべてのサービスに危険を及ぼす可能性があります。サービス毎にパスワードを変えることで、被害を最小限にすることができます。そこで最後に米ブログメディア「Lifehacker」、インターネット・セキュリティ・ナレッジに掲載されているテクニックを紹介したいと思います。パスワードづくりの例ベースとなる文字列を基に、対象となるサービスの一部を使って変形させます。このルールを使えば一つのベースパスワードを記憶することで、サービス毎にユニークなパスワードを生成することができます。このルールでは強固なベースパスワードを選択することが重要です。ベースパスワードを選ぶ方法を併せて紹介いたします。何らかの言い回しや歌の繰り返し部分など頭の5文字を使う。(例:「トレンドマイクロは1988年ロサンゼルスにて創業」→「T88LS」)覚えやすい言葉を選んだ後、キーボード上で指を一列上にずらして同じ語を入力する。ベースパスワードの作り方インターネットの世界に国境はありません。韓国で発生した被害が明日、日本で発生するかも知れません。今回の事件を振り返り、得られた教訓からセキュリティ対策を見直してみてはいかがでしょうか。