(1/2)一見、強固に見える「本人確認」にもスキがある——。それを実感させられる事件が米国で起こりました。あらゆる個人情報をハッキングされたこの事件はどうして起こったのでしょうか。した事態を防ぐ方法はあるのでしょうか。「守り方」のシフトチェンジをゼロデイ攻撃発生、ユーザーにできる「減災」と「防疫」とは先日、ちょっと興味深いブログ記事を読みました。海外でクレジットカード番号が流出した事件があり、コールセンターから「あなたの番号が流出した可能性がある」と電話がかかってきたというもので、そのときに「あなたの生年月日を教えてください」と聞かれたというのです。実際にどう対応すべきか知りたい方は、カスペルスキーのブログ記事をご覧ください。カスペルスキー公式ブログより)しかし、あらためて考えてみると私たちは、対面ではなくネットや電話を経由した「あなたは誰ですか?」という問いかけに対して無防備な感があります。これは意外と重要なことであり、気を配らなくてはならない問題だと思っています。冒頭の本人確認の話は結論から言うと、銀行やクレジットカードなど、金融系をのぞく多くのネットサービスの本人確認は「メールアドレス」で行うケースがほとんどです。パスワードを忘れたとき、サービスに登録されているメールアドレスにパスワードリセットの案内が送られますよね。メールアドレスを持っていることが、本人確認の鍵になります。手の込んだところだと、それに「生年月日」や「電話番号の下4桁」を加えてくるかもしれません。逆に考えると、これらの情報を手にした場合、ネット越しでは「本人」として認められる可能性があることが分かります。2012年、ちょっとした事件が起きました。ID、アマゾンなどのアカウントを次々に乗っ取られたのです。これは、各社の「本人確認」の認識違いが引き起こした、とても複雑で“シンプル”なものでした。とあるサービスにおいて、本人確認で必要だったものは「請求先住所」と「クレジットカードの下四桁」。このクレジットカードの下四桁は、Webサービスによってはマスキングされていない場合も多いですよね。あるサービスで「本人確認のために必要な秘密の番号」は、別のサービスでは「公知の番号」として扱われることもあるのです。ハッカーは鮮やかな手段でこれを入手し、まんまと「本人」になりすましたというわけです。あらゆる個人情報をハッキングされたWIRED記者が考えるセキュリティ問題(WIRED.jp)バラバラのパズルを組み立てるような感覚で、一見強固に見える「本人確認」の論理的バグを突く——。この手の攻撃があり得ることは、知っておいた方がいいかもしれません。「きょう誕生日の人RT」「#ペットの名前」に反応してはいけない理由ソーシャルネットワークサービスを使う人が増えてきました。自らの手で公開している個人情報を組み合わせることで、予想外のことまで分かってしまいます。万人にお勧めしたいけれど、まだまだ面倒くさい「二要素認証」IDとパスワードの組み合わせ以外に、もう1つ何かを入力しなければいけない「二要素認証」。セキュリティを確保するためにはオンにしてほしい仕組みですが、まだまだ安心よりも「手間」が勝ってしまうようです。個人情報の保護なんて気にしないあなたへ2016年1月1日からマイナンバー制度が始まりました。これから時代は個人情報の活用がより多方面へ広がっていくかもしれません。個人情報保護を考える2つの読みものをご紹介します。「秘密の質問はきっちり管理!」と公言したところ......セキュリティに大変詳しい知人から質問を受けました。この質問に「やってます!」と答えましたが、それが罠であるとは全く気付かずに......。秘密の質問「母親の旧姓」、読めないんですけど......ask.fmで「初めて観た映画のタイトルは?」なんていう質問が投げかけられる話が盛り上がっています。これは......どうやら、特定のWebサービスの「秘密の質問」そのもののようです。広告に関するお問い合わせメールマガジンSpecialインデックスRSSfacebooktwitter利用規約ITmediaはアイティメディア株式会社の登録商標です。