NEKOLAB

起こったこと 7月1日 7payのサービスが開始した 未明から既に攻撃は発生していたものと思われる 7月2日未明 Twitter などで不正アクセスにより知らないうちに大量のチャージ及び利用が行われたと言う被害が大量に報告される 7pay不正利用問題。私も同様の事態が発生して急ぎパスワードを変更しましたが、クレジットカードで多額のチャージがなされてしまいました。問合せをしたところ、担当者は「不正利用の記録はありません。カード会社の問題では」という当事者意識のなさ。7pay、危なすぎます。現在、再度の調査を依頼中。 https://t.co/mUNXozAt21 — 藤川大祐 (@daisukef) 2019年7月3日 当初、7pay側はIDパスワードの再利用を避けるよう指示をしたとか正規でない方法でチャージされたとしても、それを保証しないという説明をサービスデスクで行なっていたなどという報告が上がっていた。 7月3日 7Payは今回の不正利用についてホームページなどで掲載し、公に発生していることを認めた 新たなチャージ及び新規登録について中止を発表した。ただし今現在においても利用自体は可能である。つまり不正にチャージされた金額については今も利用されている可能性がある。 7Pay社社長が記者会見を行った。残念ながらそこから明らかになったのは経営層の技術に対するあるいはセキュリティに対する理解の浅さが判明しただけであった。 公に認めた被害は以下のとおり 約900名／約5,500万円　※2019年7月4日 6：00現在 全額補償すると会見では言ったもののその条件は曖昧にしている 7月4日 事件発生 中国人2名による不正利用が通報され警察に逮捕された。供述によると指示役によってその場で ID 及びパスワードを連絡されそれを7名に登録その場で大量のタバコを買ったが、持ちきれなかったため一時的にその場を離れた時に店員が不正利用の痕跡に気付き通報、逮捕となった模様。 7月4日同日 7Pay社は、二段階認証を導入することを発表している。ただしその時期は不明でありいつ実装されるのかはわからない。なお、私見ではあるが、この二段階認証に関しては前日の会見で社長がまともにそのことに関して答えられなかったことに対する対応と考えら...

安心して使えるパスワードを作る方法を３つ選びました。 1. ランダム とても重要なサービスのパスワードであればランダム文字列で作るほうがいいでしょう。盗聴まで警戒するならオフラインで作るくらいの警戒をしてもいいくらいです。 作り方 WindowsならPowerShell上で以下の３つのコマンドを打つと、ランダム文字列が作れます。 パスワードの文字数は12文字以上で作ることが（今のところ）安全と言われています。 > $len = 12　＃文字数 > [Reflection.Assembly]::LoadWithPartialName("System.Web") > [System.Web.Security.Membership]::GeneratePassword($len,0) 結果は、こんな感じ。記号が混じります。 > F:RTWT])q]]} 記号を混ぜたくない場合は、３つめのコマンドを変えるといいでしょう。 以下は、英数字のみにするものです。 > do { $pwd = [System.Web.Security.Membership]::GeneratePassword($len,0) } until ( $pwd -match '^[0-9a-zA-Z]+$' ); $pwd 結果はこんな感じ。記号は混じりません。 > JKULrd6w2ca8 参考： https://stackoverrun.com/ja/q/10270645 オンラインで作っていいなら、パスワード生成アプリを使ってみましょう。ただし、信頼できるサイトで作るべきです。不正に収集されている危険性もあるかもしれません。 パスワードジェネレータ - LastPass デメリットは、ランダム文字列を覚えるのは不可能でしょう。 パスワード管理ソフトの助けを借りなければならないという手間があります。 安全性 英数字（６４種＝大文字英字２４種＋小文字英字２４種＋数字１０種）から１２文字のパスワードを作る場合、 64^12 ≒ 3.2 × 10^21 ≒ ３２垓通り以上 となります。 実際に解析するのに...

皆さん強いパスワード作ってますかー！ パスワードって大事ですよね。いいパスワードだと安心できますよね。 逆に悪いパスワードだと、夜も眠れませんよね。私はそう思います。 でも、強いパスワードとはなんでしょうか。 強いパスワードって何？ パスワード管理サイトのLastPassには、こう書いてます（筆者要約）。私が特に重要だと思うことには、下線を入れました。 専門家による良いパスワードのヒント 作成するアカウントごとに必ず固有のパスワードを使用します。（後略） パスワードには、個人を特定できる情報は使用しないでください。（後略） パスワードは 12 文字以上にし、英字、数字、特殊文字を含めます。14 文字、あるいは 20 文字のパスワードを生成する人もいます。 覚える必要のあるマスター パスワードを作成する場合は、お気に入りの映画のセリフや歌詞の一部を使用します。それにランダムな文字を加えます。単純なパターンで置き換えることのないようにします。 LastPass のようなパスワード マネージャを使用してパスワードを保存します。（後略） asd123、password1、Temp! のようなよく使われる弱いパスワードを使用してはいけません。 強いパスワードの例として、S&2x4S12nLS1*、JANa@sx3l2&s$、49915w5$oYmH などがあります。 セキュリティの質問には個人情報を使用しません。代わりに、LastPass を使用して別の「パスワード」を生成し、それを質問の答えとして保存します。それは、 子供のころに住んでいた住所や母親の旧姓などの情報は、ハッカーが容易に見つけることができる ので、総当たり攻撃で使用され、アカウントにアクセスされる危険性があるからです。 1 つの単語や文字のみを変えた類似のパスワードを使用してはいけません。（後略） 誰かとパスワードを共有した後、Web サイトでセキュリティ侵害が発生した後、最後に変更してから 1 年以上経った場合など、 パスワードを変更すべき理由が生じたときは、パスワードを変更します。 電子メールやテキスト メッセージでパスワードを共有してはいけません。（後略） いかがでしょうか。ためになりますね！ パスワードは１２文字以上。長ければ...

内閣サイバーセキュリティセンター（ＮＩＳＣ）が以下の意見募集を行っているので、読んでみた。 「サイバーセキュリティ意識・行動強化プログラム（案）」に関する意見募集について http://www.nisc.go.jp/active/kihon/pubcom-awareness2018.html 　「サイバーセキュリティ戦略」（平成30年７月27日閣議決定）において、『産学官民の関係者が円滑かつ効果的に活動し、有機的に連携できるよう、 サイバーセキュリティの普及啓発に向けた総合的な戦略及びアクションプランを策定すること 』とされています。これに基づき、サイバーセキュリティ戦略本部普及啓発・人材育成専門調査会にて、「サイバーセキュリティ意識・行動強化プログラム」の策定を目指して議論を行い、この度、案をまとめました。 　つきましては、本件について以下の要領で広く国民の皆様からの意見を募集いたします。 e-Govから意見を送ることができるので、興味のある人は送信されたい。 自分は、意見は言うほどのものは持ち合わせていませんけども…。 パブリックコメント：意見募集中案件一覧 http://search.e-gov.go.jp/servlet/Public 実際に「サイバーセキュリティ意識・行動強化プログラム」を読んでみた。 まず、目次を引用してみる。 １ はじめに ２ 現状 （１）インターネットの利用及びサイバーセキュリティ対策の状況 ① 個人の状況 ② 企業の状況 （２）官民の取組状況 ① セミナー・イベント ② ツール・コンテンツの提供 ③ タイムリーな情報発信 参考 諸外国における取組の例 （１）米国における取組 （２）英国における取組 ３ 今後の取組の基本的な考え方 （１）個人・組織における「自覚・行動」の促進 （２）「３つの視点」からの取組の推進 ４ 具体的取組の推進 （１）基本的な対策の徹底 （２）重点的な対象とその内容 ① 中小企業 ② 若年層 ③ 地域における取組の支援  （３）情報発信・相談窓口の充実 ５ 連携体制の強化 参考資料 特に、実のありそうな項目を強調した。 最上部に引用した下線部の 普及啓発 に向けた対象が４（２）の３つと考えられる。 一方、１目的では...

個人が自ら“データ”を預ける「情報銀行」、2019年3月に事業者認定へ--「お金目的では本末転倒」 - CNET Japan https://japan.cnet.com/article/35127271/ 2019年には、「情報銀行」が誕生する。どのように生活に組み込まれるかは、今のところ先行きが見えないが、法的に認められる情報専門に扱うという機関が生まれることは一つの転換点になりうるだろう。 個人情報漏洩、企業に報告義務　政府が法改正へ  - 日本経済新聞 https://www.nikkei.com/article/DGXMZO39012520W8A211C1MM8000/ もっとも情報の取扱に関しては、GAFAを始めとした欧米の企業などが消費者から取得しているデータをビッグデータとして活用しているのが現状だ。実質的には、オープンIDなどに使われるそれが「情報銀行」のそれと似ているといっていいだろう。 日本が独自で情報に関する戦略をどう構築するかが、2019年の一つの動きになるだろう。 実際に、個人情報保護のさらなる法改正など、様々な動きが見え始めているのも確かだ。 どのようなことをしたいのかは未知数だが、日本版のGDPRのような立ち位置のものになるのは想像に難くない。ただ、あくまで国内法であるから、GDPRのような世界的に大きな影響を与えるようなものというより、情報を海外等に流出させないようにするのが目的のように思える。 金融庁、銀行の情報活用へ法改正視野　年明けから議論本格化 - ロイター https://jp.reuters.com/article/fsa-bank-data-idJPKCN1OJ0CQ 銀行の情報活用についても議論がされるようだ。いままで銀行は、業務が限られていたので、活用できるようにするための政策になるのだろう。 2019年は、東京五輪前年であったり消費増税の年であったり天皇譲位であったり様々な事が起こる年になる。このような動きについても注目していきたいところだ。

JPCERT/CCから以下の注意記事が出ている。 長期休暇に備えて 2018/12 https://www.jpcert.or.jp/pr/2018/pr180002.html I. 不審なメールへの注意 (例: ばらまき型メール攻撃)  II. システムにおける脆弱性への注意 (例: Oracle WebLogic Server) III.休暇前の対応 IV.休暇後の対応 V. JPCERT/CCからのお願い （以下略） 要するに 休暇中にいろいろばらまかれるから気をつけろ 休暇中は人がいないから悪さされても気づくのが遅くなるから気をつけろ 休暇前には、旅行前にガスの元栓を締めるように、システムの状態をちゃんと見ておくこと 休暇後には悪さされてないか十分に気をつけること 何かあったら連絡してちょうだい ということ。サイバーセキュリティとはいえ、やることは普段の防犯意識と変わらず行うことが肝要と思われる。

２段階認証を突破できる攻撃が発生しているようだ。 攻撃方法は、概ねフィッシングメールやフィッシングサイトを利用している。 肝は、メールに特定の画像を埋め込むことで、相手がリアルタイムでメールを閲覧しているか確認するという方法だ。 偽のフォームに入力されたときに、攻撃者は同時にその情報を本物のフォームに入力ができる…故に、２段階認証のコードも同時に入力ができる、という寸法だ。 防御方法は、アプリやSMSの２段階認証をやめて、BlueToothトークンやNFCトークンなどによる物理的な認証をとる方法を勧められている。ただ、一般的なユーザーには、物理トークンの馴染みが薄いのも事実。 基本的には、フィッシングメールやフィッシングサイトを疑って、メール経由での認証には応じない、という警戒を強めることが大事になるだろう。 参照元： GmailやYahoo!メールの2段階認証を無効化するフィッシング詐欺が横行している - GIGAZINE https://gigazine.net/news/20181214-iranian-phisher-bypass-2fa-protection/

世界規模のハッキング攻撃、政府機関とハイテク企業などを標的に--北朝鮮が関与か - ZDNet Japan https://japan.zdnet.com/article/35130076/ 記事によると、Operation Sharpshooterと呼ばれる攻撃が世界銃で行われているとのことだ。 Operation Sharpshooter 記事のとおり、McaFeeがレポートを発出している。 https://securingtomorrow.mcafee.com/other-blogs/mcafee-labs/operation-sharpshooter-targets-global-defense-critical-infrastructure/ 多くはアメリカに対しての攻撃だが、日本も含む世界各国を対象に攻撃が行われている。英語圏の企業に対して行われているとのことだ。 攻撃方法は、２段階に分かれるが、はじめは求人を装うスパムメールによるものだ。悪意のあるマクロを含むWordファイルが送られてくる。それにより、コントローラサーバーから本命のバックドアである「Rising Sun」をダウンロードする仕組み、となっているとのことだ。 防御方法は、不審なWordファイルは開かないことに尽きる。 現在は、英語圏向けの攻撃なので、英字のメールには十分気をつけること。ただし、日本語による同様の攻撃がでてきても不思議ではないので、十分に気をつけたいところだ。

改正サイバーセキュリティ基本法の成立 - 日本経済新聞 https://www.nikkei.com/article/DGXMZO38558560V01C18A2EAF000/ １２月５日午前、サイバーセキュリティ基本法の改正案が成立した。 このサイバーセキュリティ基本法の改正によって、政府はサイバーセキュリティ協議会を設立することとなった。 この協議会の目的は、先日に記事にしたが、国内外の組織との情報連携の強化を主にしたものだ。 サイバーセキュリティ基本法の改正案（第１９６回国会）を眺めてみる - NEKOLAB https://nekoinfolabo.blogspot.com/2018/11/blog-post_19.html また、これも先日記事にしたが、政府は近々に対サイバー攻撃に関する法律防衛要綱の整備も検討している。 サイバー攻撃に関する自衛権 - NEKOLAB https://nekoinfolabo.blogspot.com/2018/12/blog-post.html これは、主にサイバー攻撃に対する自衛権の発動要件をどうするか、といったところになるが、その是非の議論はおいておくとして、 それを発動するためには「攻撃した相手国が明確である」 ことを対内外に主張することは、必須条件となる。しかし、相手は公然と宣戦布告するとは限らず、秘密裏に攻撃してくることも考えられるだろう。 つまり、その条件を満たすためには、情報の収集（証拠の入手といってもいい）は重要であり、日本内の組織はもちろん、海外との情報連携もまた必要だ。特に、同盟国であるアメリカへの情報、あるいは、アメリカからの情報は、それを特定するための最重要要件とさえ言っていいだろう。 そのためには、サイバーセキュリティ協議会の設立は必要であったと言っていいだろう。文字通りの『 国家的サイバーセキュリティ 』が今国会で急激に進んだと評価できる。 今国会では、外国人労働者に関する法律や憲法改正発案についてが注目されているが、その一方でサイバー攻撃に関する内閣官房の法整備、防衛省による制度の整備が着々と進められていることもまた事実。今後の日本政府、外国政府のサイバーセキュリティに関する動向も注目したいところだ。