ジャパンが2月26日に公表した不正アクセス事件についての最終報告を4月9日に公表しました。外部のフォレンジック調査の結果として、2月に公表した流出データから変わった点では、ドライビングスクールへの資料請求をした顧客情報が2855件追加となっていました。(2月時点で調査中だったメールアドレスはテスト用だったことも判明)結果として、2月の発表では28,722件であったのが、最終報告では31,574件となっていました。新たに判明した顧客情報は、メールアドレス以外にはパスワードのハッシュですので、すぐには影響は無いかも知れませんが、ハッシュの方式・持ち方(ソルト・ストレッチはしてたの?)によっては、レインボーテーブルに当たってしまう可能性もある為、漏えい対象の顧客(ユーザ)はやはりパスワードを変更すべきかと思われます。推奨する対策が実施されていることが確認されました。不正アクセスを行った第三者は、不正アクセスのログをもとに調査をしておりますが、特定には至っておりません。(最終報告書から引用)Webアプリケーションの実装がIPA推奨ではなかった事が報告書から分かります。OWASPトップ10にある様なSQLインジェクションのような脆弱性を突かれたという事なのでしょうが、原因は報告書では公表されていませんので、もしかすると複数の脆弱点を抱えていた(=恥ずかしくて公表できない)のかも知れません。アクセスログからの調査に関しては、前記事でも書きましたが、ログが1ヶ月しか残ってないという、かなり致命的なログ管理体制だったので、(材料不足で)特定は・・非常に困難(おそらく無理)だと推測します。顧客情報を扱う委託先にセキュリティ監査を実施してなかった事が分かります。ジャパンは反省してますという事になるのだと思います。言え・・・3項目目は、もしかすると難しいのではないかと推測します。委託先管理ができるか?という部分に関して、そこが出来てなかったから事件を起こしている訳であり、本社ドイツからのサポートがあるとしても、(前記事でも下記を引用しましたが・・・)社員数が65名で、販売系に多くのウェイトが置かれているであろう事を想像すると、セキュリティ監査を日本主体で行うためには、恐らく外部から人をスカウトしてくるしか無いのではないでしょうか?(自社で育てる時間が無いとした場合)本社から技術陣を呼んで委託先を定期監査する手もあるかと思いますが、英語で委託先監査を実施する(翻訳する)事になりますので・・・意思疎通や頻度も含め、やはり意図している委託先管理の実現は面倒かも知れません。ジャパンが2月26日に委託先が不正アクセスを受け、メ...2018-03-06東芝のメール情報流出は何故100人分だったのか?東芝が自社グループのメールサーバに不正アクセスを受け、従業...2018-01-29幻冬舎の不正アクセスを考えてみた。(470)調べてみた。(306)つぶやいてみた。(261)まとめてみた。)はてなブログをはじめよう!foxcafelateさんは、はてなブログを使っています。ブログを報告する引用をストックしましたストック一覧を見る閉じる引用するにはまずログインしてくださいログイン閉じる引用をストックできませんでした。再度お試しください閉じる限定公開記事のため引用できません。