吉田ゆうすけコインチェックはなぜウィルス感染したのかTweet昨日16時にコインチェックの記者会見が行われました。私もYouTubeのライブ配信を見て内容をチェック。実は私、情報セキュリティの専門家です。会社員時代にISOの部署にいたことがあって、ISO14001、ISMS、プライバシーマークの認証取得の支援を行っていました。独立して現在も頑張っています。逆に今後ニーズが増えるのは情報セキュリティの分野。自動運転やAIが活躍する時代に入ると、ハッキングやセキュリティに対するリスク管理のニーズは飛躍的に高まります。インターネットに繋がった車がハッキングされると兵器と化しますからね。実用化の鍵はセキュリティが握っています。仮想通貨も同じですね。ここに革命が起こればネットの世界はとんでもない成長を遂げるでしょう。有効な対策が無いのは今回の事件を見ても明らかです。無くすのではなく、ゼロに近づけるための施策をマネジメントシステムと言うのです。コインチェックでネムが無くなった原因を今回の記者会見で話してましたが、これは完全にフィッシング詐欺ですね。要するにメールでパスワードを抜くというヤツです。古典的な詐欺の部類に該当します。PayPalを装ったサイトからメールが来ます。今すぐパスワードを変更してください。xxx.xxx...みたいなものですね。メールアドレスを確認すると@の後ろのメールアドレスがpaypay.comとかになってます。ペイペイどっとこむ笑しかし、画面に飛んでいつもの馴染みのある管理画面に飛んだとしたら、ついついパスワードを入力してしまうというワケ。本家のサイトで普通にログインし、お金を引き出したり振り込んだりしちゃいます。私も以前、フェイクサイトに入ってしまったことがありました。eBayだったんですが、管理画面にアクセスすると見に覚えのない商品が並んでます。深いリンクに入っていこうとしても行けない。あれ?と思ってすぐパスワード変えて被害を免れました。スモールビジネスの場合の対策は簡単です。ブックマークしたサイトからログインするように気をつければ良いだけ。従業員が増えてくると話しが変わってきます。危機意識の低い従業員がリスクの高いサイトにログインする権限を持つからです。やってませんか?外注さんに直接アカウントにログインさせる行為。これを防ぐために、例えばeBayならサードパーティと言われるツールからアクセスさせるという対策が有効です。eBayならNijuyonとかですね。goo.gl/LXTffo...その他にも管理画面にアクセスさせたいケースは多いでしょう。その場合はシンプルな対策として「従業員にパスワードを教えない」という方法が有効です。リモートデスクトップがあります。従業員にはリモートPCからログインさせます。フィッシングサイトはビミョウにURLが違うので、いつもと違うURLを踏んでも記憶されたパスワードは出てきません。監視ツールを走らせておくことで不正があった場合にキャプチャをチェックできます。1.管理画面へのパスワードは教えない。大半のセキュリティ上のリスクは回避できるでしょう。中小企業レベルで実装すると、それだけで破産します。「現実的な対策」は事業消失リスクを回避するためにネット企業の場合はマストです。防御力ゼロで攻撃力マックス事件でした。冒頭から空いた口が塞がらなかったもんね。それ知っててINしたワケだけども。カオスこそチャンスなのです。