タグ: データ漏洩（用語）

Amber Groupは、ジャマイカ政府のJamCOVIDアプリ及びウェブサイトの秘密鍵とパスワードが漏洩した2つ目のセキュリティ過失を修正した。

米国時間2月21日にセキュリティ研究者がTechCrunchに語ったところによると、Amber GroupはJamCOVIDのウェブサイトに誤ってファイルを残してしまい、そのファイルにはJamCOVIDのサイトとアプリを実行しているバックエンドシステム、ストレージ、データベースへのアクセスを許可するパスワードが含まれていたという。同研究者は、ジャマイカ政府からの法的な影響を恐れて、匿名を要求した。

このファイルは、環境変数（.env）ファイルとして知られており、クラウドアプリケーションの動作に必要なサードパーティサービスの秘密鍵やパスワードを格納するためによく使用される。しかし、これらのファイルはうっかり公開されたり、誤ってアップロードされることもあり、悪意のあるハッカーによって発見された場合、クラウドアプリケーションが依存しているデータやサービスへのアクセスを得るために悪用される可能性がある。

露出された環境変数ファイルは、JamCOVIDのウェブサイト上のオープンディレクトリで発見された。JamCOVIDのドメインは同国保健省のウェブサイトにあるように見えるが、JamCOVIDのダッシュボード、アプリ、そしてウェブサイトは請負会社であるAmber Groupが管理・運営している。

露出されたファイルには、JamCOVIDのAmazon Web Services（AWS）データベースとストレージサーバーの秘密認証情報が含まれていた。このファイルには、JamCOVIDがテキストメッセージを送信するために使用しているSMSゲートウェイのユーザー名とパスワード、メール送信サーバーの認証情報も含まれていた。（漏洩したパスワードやキーを試したり使用することは違法であるため、TechCrunchはテストしていない。）

TechCrunchがAmber Groupの最高経営責任者Dushyant Savadia（ドゥシャント・サヴァディア）氏に連絡を取り、セキュリティ事故を知らせたところ、同氏はしばらくして露出ファイルをオフラインにした。またTechCrunchは、コメントは差し控えた同氏に対し、秘密鍵の取り消しと交換を求めた。

ジャマイカ政府はAmber Groupとの契約や関係を継続する予定なのか、JamCOVIDアプリとウェブサイトのセキュリティ要件はAmber Groupとジャマイカ政府の双方で合意されていたのかなど、コメントを求めたが、ジャマイカ国家安全保障省のMatthew Samuda（マシュー・サムダ）無任所大臣は取材や質問に応じなかった。

今回の漏洩の詳細は、カリブ海に拠点を置くサイバーセキュリティ会社Escala 24×7が、最初のセキュリティ過失の後、JamCOVIDのサービスに脆弱性は発見されなかったと主張した数日後に明らかになった。

EscalaのCEOであるAlejandro Planas（アレハンドロ・プラナス）氏は、先週のコメントに先立ち、同社が2つ目のセキュリティ過失を認識していたかどうかについての発言を辞退し、同社は機密保持契約を結んでおり、「追加情報を提供することはできない」とだけ述べた。

この最新のセキュリティ事故は、Amber Groupが過去1年間にジャマイカを訪れた何百万人もの旅行者の入国記録と、新型コロナウィルスの陰性テスト結果をホストするパスワードなしのクラウドサーバーに安全対策を施してから1週間も経たないうちに発生した。島を訪れる旅行者は、渡航許可を得るためにはフライト前に新型コロナウィルス（COVID-19）のテスト結果をアップロードする必要がある。サーバー上で情報が流出した被害者の多くは米国人だ。

先日のあるニュース報道では、Amber Groupのサヴァディア氏が同社はJamCOVID19アプリを「3日以下で」開発した、と語っていたと報じられた。

Amber Groupもジャマイカ政府もTechCrunchに対してはコメントしていないが、サムダ無任所大臣は地元ラジオで、セキュリティ上の過失について犯罪捜査を開始したと語っている。

関連記事：シスコ・NEC・アラクサラが重要インフラ向け機器サプライチェーンの真正性確認にブロックチェーン活用

カテゴリー：セキュリティ

タグ：ハッカー　データ漏洩

[原文へ]

（文：Zack Whittaker、翻訳：Aya Nakazato）

数千人のユーザーがインストールしているウェブカメラアプリはパスワードなしで、ユーザーデータが詰まったデータベースをインターネット上に公開してしまった。

Elasticsearchデータベースは、ZeeporteやUminoといった、複数のウェブカメラを閲覧したり、制御したりするためのアプリAdorcamに属している。セキュリティ研究者のJustin Paine（ジャスティン・ペイン）氏がデータ漏洩を発見しAdorcamに連絡したところ、Adorcamはデータベースを保護した。

ペイン氏はTechCrunchと共有したブログ記事で、データベースには数千人のユーザーに関する約1億2400万行のデータが含まれており、その中にはウェブカメラの位置情報やマイクの有無、カメラが接続されているWi-Fiネットワークの名前など、ウェブカメラに関するライブ情報や、メールアドレスなどウェブカメラの所有者に関する情報が含まれていたと述べている。

ペイン氏はウェブカメラからキャプチャした画像がアプリのクラウドにアップロードされている証拠も発見したが、リンクの有効期限が切れていたため確認できなかった。

さらにペイン氏は、アプリのMQTTサーバー用のデータベースから、ハードコードされた認証情報を見つけた。MQTTはインターネットに接続されたデバイスでよく使われる軽量のメッセージングプロトコルだ。同氏は認証情報をテストしなかったが（米国では違法であるため）、脆弱性についてアプリ開発者に警告し、開発者はパスワードを変更した。

ペイン氏は新しいアカウントでサインアップし、データベース内で自分の情報を検索することで、データベースがライブで更新されていることを確認した。データの機密性は限られていたが、同氏は悪意あるハッカーが説得力のあるフィッシングメールを作成したり、その情報を恐喝に利用したりする可能性があると警告した。

Adorcamはこの事件についてユーザーに通知する予定があるかどうかなど、米TechCrunchからのメールに返信していない。

カテゴリー：セキュリティ

タグ：データ漏洩

画像クレジット：TechCrunch / in-house

［原文へ］

（文：Zack Whittaker、翻訳：塚本直樹 / Twitter）

コロナ禍のテレワーク拡大により、オフィス勤務を前提として構築されていた企業のセキュリティ対策が問い直されている。

内閣府が6月21日に発表した「新型コロナウイルス感染症の影響下における 生活意識・行動の変化に関する調査」によると、コロナ禍でテレワークを経験した人の割合は日本全国で34.6％。23区に絞ると、55.5％にのぼる。

テレワークが浸透したことにより生産性の向上などの恩恵を受けた企業もある一方で、セキュリティ課題も浮き彫りになっている。8月には国内企業38社が修正プログラムを適用しないままVPNを使用し続け、不正接続の被害に遭うという事件が報道された。

さらに企業のセキュリティ対策だけでなく、個人のリテラシーも問われている。一般社団法人JPCERTコーディネーションセンター（マルウェア Emotet の感染拡大および新たな攻撃手法について）によると、7月以降、コンピュータウイルス「Emotet」への感染を狙う攻撃の件数が大幅に増加した。Emotetは取引先や友人を装うなど感染への工夫を凝らしており、JPCERTコーディネーションセンターは注意を呼びかけている。

この背景にはテレワークにより一元的なシステムの管理が難しくなったことが原因のひとつとして存在すると考えられ、コロナ禍ではより一層、企業・個人ともにセキュリティのリテラシーが求められる。

ところで、セキュリティリテラシーというと前述のようなコンピューターウイルスやフィッシングサイトへの対策を思い浮かべる方も多いかもしれない。しかし、昨今注目されているのがウェブエンジニアのような開発者に求められるセキュリティリテラシーだ。

ウォーターフォールの開発体制においては開発完了後に第三者機関による脆弱性診断を行い、その結果に基づき脆弱性の修正を行うというサイクルが成立していた。もちろん、設計レベルでの脆弱性が存在した場合は多大な手戻りが発生してしまうので、成立とはいえないこともある。

しかし、この「事後に大規模な脆弱性診断を行う」という形式が、細分化されたリリースを繰り返すアジャイル開発の体制にはフィットしないことは明らかである。

すなわち、現代においては設計・コーディングの段階で脆弱性を生まないようにすることの重要性が増してきているといえる。開発工程のより上流でセキュリティを担保しようとする「シフトレフト」（Shift Left）のひとつの形だろう。これを実現するためにはもちろん自動検査ツールの導入といった選択肢もあるが、現場で動く開発者、つまり「人」も重要なファクターになってくる。

そこで今注目されているのが、開発者のセキュリティリテラシーの底上げを図る高度な教育サービス。時代背景にも合わせて特にeラーニングのサービスが脚光を浴びている。セキュリティの中の教育というニッチな領域になるが、今回は複数のサービスを取り上げてみる。

Udemy ― 初級から上級まで181のセキュリティコースを用意

ベネッセコーポレーションが約56億円を出資して米ベンチャー企業が展開するオンライン動画学習サービス「Udemy」では、サイバーセキュリティコースを座学や演習などさまざまな形態で受講することができる。

2020年11月現在181ものコースが用意されており、レベルは社会人として必要なセキュリティリテラシーを学べる初級編からサイバー攻撃の手法を学べる上級編まで幅広くカバー。価格は無料のコースから2万円前後のものまで。ほぼすべてのコースに学習期間の制限がないだけでなく、30日間の返金保障がついている。

Flatt Security ― 東京大学発ウェブエンジニア向けSaaS型eラーニングサービス

サイバーセキュリティ事業を展開するFlatt Securityは11月4日、ウェブエンジニアのセキュアコーディング習得を支援するSaaS型eラーニングサービス「Flatt Security Learning Platform」β版の提供を開始した。

資料に目を通して三択問題のテストを受ける、というような受動的なeラーニングとは異なり、攻撃者が用いる攻撃手法を体験したり実際に脆弱なコードを修正したりなど、演習形式を軸としてより実践的なトレーニングを一元的に受講できる。

同サービスは法人向けに展開しており、サイバーエージェントやXTechなどがβ版以前のトライアル版を利用している。価格は1名あたり数万円から。

SANS ― 大学の助教授やCISO（最高情報セキュリティ責任者）が講師に参画

情報セキュリティ分野に特化した教育専門機関SANSは、情報セキュリティの分野において必要な知識やスキルを有していることを証明する認定試験GIACとその学習カリキュラムを運営。GIACは米国政府・企業を中心に、個人のスキルレベルを客観的に計測する基準として高く評価されている。

特徴は優秀な講師陣。大学の助教授や企業のCISO（最高情報セキュリティ責任者）など最先端の技術・知識を有するセキュリティのプロフェッショナルがレクチャーしている。また、教材は年4回程の改訂を行っており、最新トピックが反映されている。金額は内容によって大きく異なるが、5～6日で受講するコースを80万円前後から受けられる。

Rangeforce ― 1600万ドルを調達した、トレーニングサービスを提供する米企業

アメリカのサイバーセキュリティスタートアップRangeforceでは、サイバーセキュリティのトレーニングサービスを提供。顧客企業のセキュリティスキルを向上させ、サイバー犯罪を減らすことを目的としている。同社は2020年7月に1600万ドル（約16億6000万円）を調達しており、注目を集めている。

同サービスでは最新の脅威やシステムの脆弱性についてどのように検知、改善するかをハンズオン形式で学ぶことが可能。さらに同社は、より実践的に攻撃・防御の演習が行えるクラウド上の演習環境も提供している。同環境を用いることで、チームの対応力やスキルレベルの分析が可能だ。2020年11月時点で日本語版は提供されていない。

関連記事
・飲食店の空席を有効活用、コロナ禍を乗り越えるための新たなワークスペースサービスとは？
・「初めて生理が楽しみになった」女性150名の声から生まれた生理用品D2C「Nagi」
・「どう生きたいか？」と徹底的に寄り添う、ポジウィルがキャリアのパーソナル・トレーニングへ舵を切った理由
・女性の悩みを解決するパーソナルカラー診断やオリジナルマスクでwithコロナの新事業に挑戦するStyle Works
・キャリアスクールのSHEがいまミレニアル女性に届けたいこと、コロナ禍で体験申し込みは2倍に
・きっかけは原因不明の体調不良、40代女性起業家が更年期夫婦向けサービスに込める想い
・オンラインヨガ、セルフヘアカラー、荷物管理、リモートワークを快適に過ごすサービスの需要増
・三密によるクラスターを回避、withコロナ時代のコールセンターとは
・安定志向だった私が共同創業者に、ヘルスケア×フードテックの可能性
・11年の受付業務経験を経て開発、2500社が導入する無人受付システム「RECEPTIONIST」

カテゴリー: セキュリティ

タグ: エンジニア（用語）、データ漏洩（用語）、ハッカー / ハッキング（用語）

私は長年に渡り何百、いや何千というデータ漏洩通知を見てきた。データ漏洩通知とは、ある企業のデータが紛失や盗難に遭った場合や、データが誰にでもアクセスできる状態でオンライン上に置かれていたことがわかった場合にそれを警告するものである。

データ漏洩通知の文面はどれもおおよそ似通ったものだ。私の役目は、個人情報がリスクに晒されている被害者のために、通知書が実際に伝えている真の内容を読み解くことである。

データ漏洩通知は、いつなにが起きたのか、それによってデータ漏洩を受けた人々にどのような影響が予測されるかを伝えるのが本来の役割だ。今年に入ってから皆さんは既に 2、3 の通知をご覧になったのではないだろうか。というのも、ほとんどの米国の州には、データ漏洩などのセキュリティーインシデントが発生した場合、企業はそれをできるだけ速やかに公表しなければならないという法律があるからだ。欧州の規則はより厳格で、侵害が開示されなかった場合には罰金が課せられるのが普通である。

しかし、データ漏洩通知は危機コミュニケーションにおいて、あまりにあたりさわりのないものになってきている。企業は非難をそらし、重要な詳細を難解にし、また重要な事実を省略する形で通知書を作成している。結局企業の最大の関心事は株式市場を良好に保ち、投資家を満足させ、取締当局に目を付けられないことにある。これらの逆を行くようなことを企業が言いたがるだろうか？

次回データ漏洩通知を受け取ったら、行間を読むようにしていただきたい。回避すべきくだらない文章を把握することによって、本当に問わねばならない事柄はなにかを理解することができる。

「当社はセキュリティおよびプライバシーを重視しています」

本当の意味: 「当社では、はっきり言うとセキュリティーやプライバシーを重視していません」

これはデータ漏洩通知に頻繁に出てくる文言である。この記事に先立ち、昨年TechCrunchはセキュリティーおよびプライバシーを「重視」している企業についての記事を掲載した。当誌は、2019 年にカリフォルニア州司法長官に提出された全通知のうち約3分の1にこの文言と似たりよったりの文章が使用されていることを突き止めた。現実には、ほとんどの企業は個人情報のプライバシーやセキュリティーに大きな関心を払ってはいない。彼らが気にするのはデータが盗まれたという事実を顧客に説明しなければならないということである。これは空虚で使い古された意味のない文章である。

「当社は最近セキュリティインシデントが発生したことを突き止めました…」

本当の意味: 「セキュリティインシデントの発生を突き止めたのは他の誰かです。しかし当社は被害の抑制に努めているところです」

これは無害に聞こえるが、正しく捉える必要のある重要な発言だ。企業がセキュリティインシデントを「最近突き止めました」と述べた場合は、そのインシデントを実際に報告したのは誰かを質すべきである。企業の顧客データベースが含まれたファイルをハッカーが漏えいしたといった事態が発生すると、コメントを求められるのは多くの場合、私のような記者である。慌てた企業は、そのインシデントを突き止めたのは自分たちだというように装おうとする。そのほうが世間に聞こえがいいからだ。

「権限を持たない何者かが…」

本当の意味: 「誰のせいかはわかりません。しかし当社を非難するのはやめてください」

これはデータ漏洩通知の中で最も論争の的となる部分の 1 つであり、つまるところ、誰がセキュリティーインシデントの責任を追うべきなのか、という簡単な問いにたどり着く。法的に言って「不正アクセス」とは、多くの場合何者かが他人のパスワードを用いて、あるいはログイン画面を迂回してシステムに違法に侵入することを指す。しかし企業はしばしばこれを誤解し、あるいはそのインシデントが悪意のあるものかどうかを区別できない、または区別するのを望まないことがある。システムがパスワードによる保護なしにオンラインにさらされたり、放置されていた場合、責められるべきはセキュリティ管理が不十分な企業である。セキュリティーリサーチャーが保護の十分でないシステムを発見し、善意で報告した場合は、彼らを悪意のある人物として描く必要はないのである。企業は責任転換をしたがるものだ。こちらとしては先入観を持たないようにしなければならない。

「当社は直ちに対策を講じました…」

本当の意味: 「当社は直ちに対策を…どのような対策を取ったらいいか分かり次第対策を講じました」

ハッカーは必ずしも捕まるとは限らない。多くの場合、ほとんどのハッカーは企業が侵害に気付くずっと前にその場を立ち去っているものだ。企業が直ちに対策を講じたと言っても、侵害の端緒から企業が対策を講じたとは考えないことだ。Equifax（エクイファックス）は、ハッカーにより1億5000万人近くの消費者のクレジット記録を盗まれたインシデントで、侵入を阻止するために「直ちに対策を講じた」と発表した。しかし、エクイファックスがその疑わしい活動を発見するまでに、ハッカーは既に2か月間もそのシステム内で活動していた。本当に重要なのは、そのセキュリティインシデントが発生したのはいつか、企業がそれを発見したのはいつか、そして企業がその侵害を管轄当局に届けたのはいつか、なのである。

「当社の犯罪調査で明らかになったのは…」

本当の意味: 「当社は、当社がどれだけヤバい状況なのかを教えてくれるようある人物に依頼しました」

インシデントレスポンダーは侵入またはデータ漏洩がどのように起こったかを解明し、企業がサイバー保険から保険金を受け取り、同様の手口による侵害の再発防止をサポートする。しかし、一部の企業は「犯罪調査」という用語を大まかに用いている。内部調査には透明性や説明責任が伴わず、その結果が精査されたり、公表されることはめったにない。インシデントレスポンダーは、調査結果が公表されない場合であっても、企業が聞きたいと思っていることではなく、企業が聞く必要のあることを企業に伝える役目を持った独立した有資格の評価者である。

「念のため、当社よりインシデントの発生を報告いたします」

本当の意味: 「当社はインシデントの発生を報告するよう強制されました」

一瞬でも、その企業がセキュリティーインシデントを開示したからといって「正しい行い」をしていると考えてはいけない。欧米では、企業には選択権が与えられていない。ほとんどの州には、一定以上の住民に影響を及ぼすインシデントについて企業がこれを開示しなければならないとするなんらかのデータ漏洩通知法があり、侵害を開示しない場合巨額の罰金が課せられる可能性がある。（TechCrunchと同様、Verizonが所有する）Yahooの例を挙げると、同社は、5億のユーザーアカウントが漏洩したデータ漏洩の1つを開示しなかったため、2018年に米国連邦規制当局により3500 万ドル（約37億7000万円）の罰金を科された。

「巧妙なサイバーアタック…」

本当の意味:「当社は実際ほど間抜けに見えないよう取り繕っています」

企業が「巧妙な」サイバーアタックの被害に遭ったと言ったからといって、必ずしもそれが本当だったとは限らない。これは誇張であり、セキュリティインシデントを過小に扱って「隠蔽工作」するための発言である。この文言が実際に語っているのは、どのように攻撃が起こったのかその企業には見当がついていないということである。結局のところ、歴史上最大の侵害の一部は、パッチ未適用のシステム、脆弱なパスワード、または誰かが悪意のある電子メールをクリックしたことが原因で発生した。

「データが盗難に遭ったことを示す証拠はありません」

本当の意味: 「当社の知る範囲では」

「証拠はない」という文言は、何事も起こらなかったということを意味するのではなく、なにかが起こっていてもそれがまだ分かっていないということである。その企業は盗難被害について十分厳密に調査をしていないか、把握していないのである。企業がデータの盗難に遭ったことを示す「証拠はない」と言った場合でも、なぜそのような結論に至ったのかを問いただす価値はある。

「影響を受けるのはごく一部のお客様です」

本当の意味: 「『何百万ものユーザー』と言ってしまうと大変聞こえが悪い」

次回データ漏洩通知に、「侵害により影響を受けるのは『ごく一部の』お客様です」と書かれていたら、これが実際何を意味するのかちょっと考えて欲しい。Houzz（ハウズ）は 2019年1月にデータ漏洩に遭ったことを認めたが、その際同社は「当社のユーザーデータの一部」が流失したと述べた。数か月後、ハッカーが5700万ものHouzz（ハウズ）ユーザー記録を投稿した。CBSが所有するLast.fm（ラストエフエム）も2012年に侵害によりパスワードの「一部」が盗まれたと発表したが、後にその数は4300万と判明した。企業が影響を受ける人数を言わないのは、実際に知らないか、知られたくないからなのである。

関連記事：マリオットホテルが再度のデータ漏洩で520万人分の顧客記録を流出

Category：セキュリティ

Tag：データ漏洩　ハッカー

[原文へ]

（翻訳：Dragonfly）