ほぼ速報の勢いなので詳細の情報が見つからないですが、不正アクセスにより顧客情報がネットに流出しその中にはクレジット情報も含まれていて実際に被害が発生して漏洩が発覚。
(情報元は日経新聞朝刊)
なんか思いっきり不正アクセスと書かれていましたが、何処がどう不正アクセスなのかウェブ関連の技術者から見ると疑わしいです。
予想としては、実装がアホすぎる順番に予想すると
１．顧客情報をドキュメントルート以下にファイル保存
これは、設計段階でタブーな実装です。設計時には直接アクセスできないようにApacheにsuexecを適用してアクセス権を制限していても、サーバーを入れ替えた際にApacheにsuexecを適用しわすれさらに付け焼刃的な対処でアクセス権を緩めるなどで公開状態になります。またディレクトリにパスワード掛けていたが移行時に再設定を忘れたとか、indexesオプションを間違って有効にしたとか。
まさか今時こんなミスはないと思いますが、原因がこれなら不正アクセスではないので100%流出された会社の責任ですね。
２．内部の担当者が利用するツールにセキュリティを掛けていなかった。
以外にあるのがこれ、ページ更新等の管理ツールは利用者が特定されているせいもあってデバッグが疎かになりがちです。URLだけ非公開で実は何処からもパスワード無しでアクセス可能とかありますので注意。
３．DBへのアクセスが可能だった。
可能性としては低くなりますが、ファイヤーウォール等で防御していない例です。
ここまで来ると内部関係者の可能性が高くなってきます。
３．CGIの欠陥を見抜かれた。
一番最悪なのはフォーム入力したテキストをコマンドの一部やDBの検索に使用している例、これはプログラム設計上の欠陥です。いくらサーバープログラムで頑丈な設計をしていてもCGIにホールがあれば最悪事態を招きます。だってノーパスでtelnet提供しているのと同じですから。
４．人間系の問題
サーバーもシステムも完璧なら、最後のホールは内部関係者しかいないですね。
流出情報と引き換えに金銭を要求してくる場合や壊滅的な損害を故意に起こそうとされた流出はこの系統が多い気がします。
結果はどうなのか…
コメントする