SFA(営業支援)CRM(顧客関係管理)マーケティングオートメーションビジネスインテリジェンスITサービスマネジメント製品ジャンルで記事を探す閉じるお知らせ公式Twitterアカウントで新着記事を配信中です。フォローをお願いします。Activeトップセキュリティいまだに起きるクレジットカード情報流出と“別人問題”徳丸浩のWebセキュリティ事件簿Aいまだに起きるクレジットカード情報流出と“別人問題”2018年前半のWebセキュリティ案件を振り返る(その3)2018/09/14記事一覧ツイート印刷するブックマークいまだに企業のWebサーバーへの攻撃が続いている。攻撃を受ける企業の側も未対策の場合が多い。“別人問題”と呼ばれるキャッシュサーバーの問題も出てきた。Webセキュリティの第一人者である徳丸浩氏に、各問題の注目すべき点について語ってもらった。古い脆弱性がいまだに攻撃される2018年5月にコンタクトレンズ事業を手掛けるメニコンの子会社で、外部からの不正アクセスにより顧客のクレジットカード情報が流出したという事件が起きましたね。前回、クレジットカードの非保持について、私自身はちょっと効果を疑問視しているという話を掲載していただきました。メニコンさんの事例はHeartbleedだという話ですけれども、Heartbleedだとたぶん非保持にしていれば防げただろうと思います。関連記事:クレジットカード情報の「非保持化」で、懸念される業界の対応この話にはいくつかの観点があるんですが、Heartbleedがかなり古い脆弱性で、2014年4月ですね。いう古い脆弱性がいまだに悪用されるというところが一つのポイントであると思います。当初、OpenSSLの脆弱性ということで、セキュリティ業界ではいったいOpenSSLのどの脆弱性で漏れるんだろうという発言がなされていました。古い脆弱性がしばしば放置されている現状があるので、私は絶対Heartbleedだと思っていました。OpenSSLというのはSSLの処理をするライブラリです。そこに脆弱性があるとすると、暗号が不十分で、解読されるんじゃないかと思う人が多いわけです。いう方法では大量には漏れません。HeartbleedはOpenSSLの脆弱性ですが、たまたまWebサーバー上のメモリーの内容がとれるというタイプの脆弱性でもあるので、それなら攻撃の仕方によっては、何十件、何百件の情報が漏れることも、あり得ます。Heartbleedの脆弱性で、クレジットカード情報が漏れたという事例は実はたまにあります。すると確証はないかもしれません。Heartbleedの脆弱性はなかなか「ここから漏れた」という動かぬ証拠が残りません。調べてみたらHeartbleed脆弱性があったので、これじゃないかと見立てるケースが多いのだと思います。いずれにしても、カード情報を扱う以上はWebを堅牢にしなければいけないのですが、4年前の脆弱性が残っているくらいですから、長期間、何もしていないんだろうなということは分かります。一時、名前付きの脆弱性で「Shellshock」とかいろいろ話題になりましたが、ああいった脆弱性に対する攻撃というのは現在でもどんどん来ています。対策されていれば何事も起きないわけですが、未対策のサイトが残っていると思い出したようにこういう事件が起きる。Shellshockが起きたのも2014年ですね。いう言い方はなんですが、この2つの脆弱性は攻撃者にとって非常に使い勝手がいい。脆弱性は攻撃・悪用が難しいものが多いのですが、一部に使い勝手のいい脆弱性がいまだに残って問題になっています。今回の話もその象徴的な話ではないかと思いますね。Activeは、IT/製造/建設各分野にかかわる企業向け製品・サービスについて、選択や導入を支援する情報サイトです。製品・サービス情報、導入事例などのコンテンツを多数掲載しています。ご覧になる際には、会員登録(無料)をお願いいたします。Reserved.このページに掲載されている記事・写真・図表などの無断転載を禁じます。掲載している情報は、記事執筆時点のものです。