セキュリティ専門家のブルース・シュナイアー氏は、SONY BMGのrootkitがSysinternalsのマーク・ルシノビッチ氏によって発見されるまで何カ月もの間、セキュリティ業界がこのrootkitの存在を見逃してきたことを非難しているが、私は同氏の批判には部分的にしか賛成しない。 シュナイアー氏の批判の大半は実際のところ、この脅威について明らかになってからセキュリティ企業がなかなか探知機能を追加しなかったこと、またセキュリティ企業が不安定なデジタル著作権管理（DRM）コンポーネント全般ではなく、このrootkitだけを削除しようとしたという事実に対するものだ。 今回の件には、難しい問題が幾つもかかわっている。ユーザーにプラスになる行動を取っていないという理由で各種の業界に難癖をつけるのは簡単なことだが、シュナイアー氏や同氏のブログへのコメント投稿者が騒ぎ立てていることの多くは、仕方の

スターツ出版は6月10日，同社が運営する「OZmall」サイトへの不正アクセス事件に関する説明会を開いた。不正アクセスが確認されたのは5月25日のこと。その後，サイトは一時閉鎖され，5月30日に再開された。説明会の対象は，同サイトが提供する予約仲介サービスなどの顧客企業。「同じような被害を受けないように，情報を共有したい」（代表取締役社長の菊地修一氏）。説明会では，事件の経緯やサイト運営上注意すべき点などが説明された。 とりあえずサイトを停止 同社はまず，今回の事件の経緯を説明した。それによると，不正アクセスが発覚したのは5月25日14時ごろ。同社が配信したメール・マガジン中のURLをクリックしてOZmallにアクセスしたユーザーから「ウイルス警告のメッセージが表示された」という報告が7件寄せられた。 この時点では，特定のウイルス対策ソフトでしか検出できなかったため，ウイルスの種類は分から

IPA／ISECは、不正アクセスを受けWebサーバが改ざんされた5月の事例を踏まえ、Webアプリケーションについてもセキュリティ対策が必要であると呼びかけた。 情報処理推進機構セキュリティセンター（IPA／ISEC）は6月6日、2005年5月のウイルスおよぶ不正アクセスの届出状況をまとめ、公開した（別記事参照）。 この中でIPA／ISECは、不正侵入報告10件のうち、Webサーバに侵入されてコンテンツを改ざんされた事件が7件あり、うち1件では、ユーザーがWebページを閲覧しただけでウイルスに感染する仕組みを埋め込まれていたことをに言及。この事例では、原因は不明だが「セキュリティパッチ適用や外部からのサーバアタック診断を適切に実施していたにもかかわらず、サーバへの侵入を許す結果」となった。 IPA／ISECによると、この事例のWebサイトでは、ただ情報を公開するだけの静的なコンテンツだけでな

カカクコム問題が、波紋を広げている。社会的責任のある東証一部企業が、果たしてあのような事後対応で許されるのかどうか。セキュリティに関して、情報を開示しないのが正しいのかどうか。 ところで私は数日前、産経新聞の連載コラム「断」に、次のような原稿を出稿した。 日本の企業は、何か事故を起こしても「警察が捜査中なので」「原因が究明されるまでは何もいえない」といった理由にならない理由をつけて、とにかく情報を開示しようとしない場合が多い。たとえばＪＲ福知山線の脱線転覆事故や、あるいは昨年春に起きた六本木ヒルズ回転ドア男児死亡事故などを見ても、それは明らかだ。 しかし「だれに責任があり、だれが責任を負うべきなのか」という追及と、客観的かつ科学的な原因の分析については、本来はきちんと切り分けて考えるべきである。責任の所在が明らかになるまでは、原因につながる情報は公開しない方がいいという考え方は激しく間違っ

5月14日から10日間，不正アクセスを受けてサイト「価格.com」を閉鎖していたカカクコム。5月24日にセキュリティ対策を終えた一部のサイトを再開した。だが同社の不正アクセス対応を巡っては，侵入手口を公開すべきと指摘する声も少なくない。今回の対応の真意について，穐田誉輝・代表取締役CEO（最高経営責任者，写真=５月25日の会見時のもの）に聞いた。 －－不正アクセスが発覚した5月11日時点で，なぜ即座にサイトを閉鎖しなかったのか。 今から振り返れば，そうすべきだったと思う。だが当時は，何が原因か特定できないままサイトを閉鎖することは，多くのユーザーや出店者に迷惑をかけてしまうと考えていた。それよりは，サイトを運営しながら理由を突き止めて対策を打つのがよいと判断した。それが発覚してから3日間，サイトを閉鎖しなかった背景にある。 11日に不正アクセスを受けた時点では，被害の実態が把握できなかった

スターツ出版は，同社が運営する女性向けサイトOZmallが不正アクセスを受け，サイトを一時閉鎖した問題について，侵入の手口は「SQLインジェクション」と呼ばれる不正アクセス手法であったことを明らかにした。またウイルス感染については，10件弱の相談が寄せられているが，これまでのところ具体的な被害は報告されていないという。 SQLインジェクションとは，外部からデータベースを操作するSQL文やその一部を入力する不正アクセス方法である。入力データをもとにSQL文を作成するようなアプリケーションが標的になる。開発者が意図しないSQL文を実行され，他のユーザーの個人情報の取得や，データの書き換えが行われてしまう。データベースのデータをもとにWebページを生成している場合は，ページが改ざんされてしまうことなる（関連記事）。 価格.comが不正アクセスされた件については，asahi.comが，「SQLイン

価格.comをはじめ、少なくとも6つのWebサイトが不正アクセスを受けてWebページを改ざんされ、ウイルスを実行するような仕掛けが施されていた。類似の被害を防ぐには、事実の共有が必要ではないだろうか。 5月中旬以降、価格.comをはじめとして、ITmediaで把握しているだけでも少なくとも6つのWebサイトが不正アクセスを受けてWebページを改ざんされ、ウイルスを実行するような仕掛けが施されていたことが明らかになった（関連記事1）、（関連記事2）。 たまたまメディアで報道されたため注目が集まり、いかにも被害が頻発しているように見えるだけだ、という見方をする人もいるかもしれない。しかし、わずか2週間足らずの間にこれだけのケースが浮上してきたことを考えると、今回不正アクセスを受けたサイトと似たような環境で運用され、被害を受ける恐れのあるWebサイトが他にも数多く存在している可能性は高いと考えた

5月中旬以降、複数のWebサイトが不正アクセスを受けてWebページを改ざんされるという事件が発生した。ここからわれわれはどんな教訓を導き出せるだろうか。 まさに「失敗学」そのものだが、情報セキュリティに関してわれわれは、これまでいろいろと痛い目を見て、そこから貴重な教訓を得てきた。 たとえば2000年初めには官公庁のWebサイト改ざんが頻発した結果、ファイアウォールをはじめとするセキュリティ機器の導入が進んだし、一昨年にはBlasterワームのまん延によってパッチの適用とウイルス対策ソフトの更新が重要であることを学んだ。少しずつではあるが進んでいるセキュリティ対策の底上げは、こうした「教訓」によるところが大きい。 さて、5月中旬以降、複数のWebサイトが不正アクセスを受けてWebページを改ざんされ、自らが被害者となるばかりか、ウイルスを実行するようなコードを公開する「加害者」にもされてしま

スターツ出版は5月27日午前11時，同社が運営するサイトが不正アクセスを受け，女性向けサイト「OZmall」や占いサイト「OZの恋愛占い」などを閉鎖した問題（関連記事）について，調査結果と復旧予定を発表した。 同社で5月中のアクセス記録を調査した範囲では，個人情報が流出した事実はなかったという。4月以前のアクセス・ログについては現在調査を進めている。ユーザーのウイルス感染については引き続き調査中としている。 サイトの復旧に関しては，セキュリティ対策と検証を行い，携帯電話向け占いサイト「OZの恋愛占い」は27日中の再開を目標とする。「OZmall」および「モバイルオズ」に関しては，5月30日月曜日のサイト再開を目標にする。 27日12時時点で，OZmallのサイトには，調査結果のほか，「OZmallで予約したレストランのキャンセル」など「よくある質問・お問い合わせ」も掲載されている。 不正ア

Microsoftのセキュリティ専門家によると、企業は従業員がパスワードを書き留めるのを禁止すべきではないという。パスワードをメモすることが禁じられてしまうと、従業員が多数のシステムで同じパスワードを使うことを余儀なくされるというのが同氏の考えだ。 MicrosoftのJesper Johanssonは、オーストラリアのComputer Emergency Response Team（AusCERT）が主催した会議の初日に講演したが、そのなかで同氏はセキュリティ業界がこれまでユーザーにパスワードをメモしてはいけないという間違ったアドバイスをしてきたと述べた。同氏はMicrosoftでセキュリティポリシーを担当する上級プログラム管理者の立場にある。 「皆さんのなかで、パスワードのメモを厳しく禁止するセキュリティポリシーを定めている人は？」というJohanssonの問いかけに、出席者の大多数が

製品価格を比較できるサイト「価格.com」を運営するカカクコムは5月25日，同サイトへの不正アクセスの原因に関して記者会見を開いた。会見では，攻撃元のIPアドレスや詳細な攻撃の手口が判明したことを明らかにした。合わせて，判明した攻撃元のIPアドレスとログ解析情報を，警視庁ハイテク犯罪対策センターに提出したことも公表した。 ただし，詳細な手口については，「同じ手口で他サイトが攻撃される可能性があることや警視庁の捜査に支障を来す恐れがある」（カカクコム代表取締役社長兼CEOの穐田誉輝氏）として一切公表しなかった。同業他社に対しては，「秘密保持契約を結べば，攻撃の手口を公開する」（同氏）とした。 今回の事件では，サイトへ登録しているユーザーのメールアドレス2万2511件が搾取されたが，「サーバーのOSにはパッチもあてていたし，アプリケーションの構造にも問題はないため，当社に過失はない。スパム対策

製品価格を比較できるサイト「価格.com」が不正侵入された「価格.com事件（価格.com問題）」。5月14日以降閉鎖した同サイトは5月24日の夜，一部を除いてサービスを再開した。翌5月25日には，この件については最後になる可能性がある記者会見が開かれた。 本稿では，現時点（5月25日）までの経緯を，その都度，記者が考えたことを交えてまとめたい。後述するように，不正侵入された原因などについては一切明らかにされていない。だが，筆者はこの対応に強く疑問を感じた。顧客への説明責任を果たし，また，類似の犯罪を防ぐためにも，情報をもっと公開すべきではないか。 今回の事件を機に，サイト管理者はセキュリティ対策を改めて確認しておきたい。不正侵入を許せば，被害者でありながら加害者になる可能性があるのだから。 詳細は未公表の緊急会見 カカクコムが「価格.com」を閉鎖したことを発表したのは5月15日24時（

「当社に過失はなかったが、詳細は明らかにできない」――カカクコムの穐田誉輝社長は5月25日、サイト再開後初めて会見を開いた。「価格.com」を一時閉鎖に追い込んだ不正アクセスの手口や、同社のセキュリティ対策の詳細などは「類似犯を防ぎ、捜査に協力するため」（穐田社長）として一切明かさなかった。記者からは「ある程度情報を開示してもらわないと、他社も対策を取りようがない」などと不満の声が漏れた。 「今回の件は、過失や重過失に類するものではない」――穐田社長は、同社のセキュリティ対策は問題がなかったと強調した。「OSのパッチはあてており、外部のセキュリティコンサルタントも入れるなど、できる限りの対策をしていた。しかし結果として“最高の対策”とは呼べない部分はあったと思う」（穐田社長） 不正アクセスの手口は「判明している」（穐田社長）としながらも「類似犯罪のヒントとなる情報は出したくない」と、詳細は