2024年5月、大手住宅メーカーでは、住宅オーナー等向けの会員制サイトへのサイバー攻撃によって情報漏洩があったことを発表しました。顧客および従業員 (退職者含む) 等のメールアドレスやパスワードなどの情報が30万件近く漏洩し、さらに50万件を超える情報が流出した可能性を否定できないそうです。

特筆すべきことは、このサイバー攻撃が「提供を終了したサービス」を狙ったことにあります。サービスの提供を終了しても機能そのものは停止しておらず、セキュリティ設定にも不備がある状態になっていたところを狙われています。

そこで今回は、この大手住宅メーカーの事例をシステム運用者とサービス利用者の両方の視点から考察してみることにします。

狙われたのは13年間メンテナンスされていなかったサービス

サイバー攻撃の被害に遭ったのは、同社が提供する住宅オーナー向け会員サイトで、2008年から2011年の期間にフォトギャラリーとして提供されていたサービス (機能) です。

同社は当該のサービスが放置されていた理由について、メインサービスからリンクやボタンなどの導線は削除され、検索エンジンにも引っ掛からない状態だったとメディアからの取材に答えています。しかしながら、URLを知っていれば直接アクセスすることは可能だったことは認識していたそうです。つまり、サービス終了から13年間の間、放置されていたことになります。

この事案を時系列で整理すると以下のようになります。

2008年～2011年	フォトギャラリーのサービスを提供していた期間
2024年5月21日	システム管理を委託していた事業者から大手住宅メーカーへ高負荷発生を連絡同社による調査の結果、不正アクセスの被害が確認される
2024年5月23日	住宅オーナー向け会員サイトの公開を停止
2024年5月24日	サイバー攻撃の被害を公表

攻撃の種類は「SQLインジェクション」で、セキュリティ設定の不備を突かれたと説明されています。SQLインジェクションとは、第三者がSQLコマンドを悪用してデータベースに不正アクセスし、情報の窃取、削除、改竄などを行う攻撃です。サイト上に設定された検索フォームや問い合わせフォームなどを悪用するケースが多く見られます。

結果的にこのサイバー攻撃は成功し、クラブ会員として同社が取得していた顧客情報、および従業員等の情報が窃取されるに至っています。また、2003年に開設された当サイトが過去に取得しているすべての情報が流出した可能性もあります。

従業員や協力会社のスタッフのアカウントが漏洩したことから、漏洩の疑いのある件数が多くなっているのだと推測されます。また、この情報の中には、過去に在籍していた人の情報も含まれています。

システム管理者やサービス運用者が考えるべきこと

単なるサイバー攻撃の事例として考えるのであれば、同社のセキュリティ被害は珍しい種類のものではありません。導線の有無や検索エンジンの挙動にかかわらず、攻撃者は常にセキュリティ網の中にある弱点を「総当たり」で探しています。

URLを知っていればアクセスできるページがあるのなら、それは「外部に向けて公開されているサービス」です。しかも、SQLインジェクションを実行できてしまう構成のまま、何年も放置されていたことには危機感を覚えずにはいられません。「使ってないから大丈夫」という思い込みが、重大なセキュリティ被害に繋がるかもしれません。

今回の大手住宅メーカーの事例から、システム管理者やサービス運用者が得られる教訓には以下のようなことが挙げられます。

● サービス全体を把握できているか

✓ 放置されているサービスはないか

・終了したサービスはきちんとクローズする

・利用者がいなくても継続する必要がある場合には、管理対象として認識する

・担当者が変わる際の引継ぎを徹底する

● セキュリティ設定に問題はないか

✓ セキュリティポリシーをきちんと把握しているか

✓ サービス提供の都合などにより、例外的に弱い部分を作っていないか

✓ 日々の脆弱性情報を確認し、適切にセキュリティパッチをあてているか

● 稼働状況を確認できるか

✓ サービスの稼働状況をリアルタイムで確認できるか

✓ サイバー攻撃をいち早く検知する仕組みがあるか

また、そもそもサービスを設計する段階で「本当に顧客の情報を取得する必要があるのか」という点についても検討することも大切です。

必要以上の情報を収集してしまうと、それらの情報をセキュアな状態で適切に管理するためのコストがかかります。最近ではGoogleアカウントやApple IDなどソーシャルアカウントとの連携を活用し、ユーザーのアカウント情報も必要最小限に抑えるサービスが増えています。これも自分たちが提供するサービスから個人情報が漏洩するリスクを削減できる施策のひとつと言えるでしょう。

ユーザー側でも考えるべきことがある

サイバー攻撃によって個人情報、特にIDやパスワードなどが漏洩してしまった場合、真っ先に同じパスワードを使用しているサービスのパスワードを変更してください。そして、変更する際には「パスワードを使い回さない」と言うことを徹底しましょう。

企業の信頼度とITサービスの信頼度は同じではありません。潤沢な資金を使える大手企業のサービスでさえ、これほどの情報漏洩が発生することがあるのです。一つのサービスで情報が漏洩したとしても、他のサービスには影響が出ないように対策をしておくことはとても大切です。

すべてのサービスで異なる安全なパスワードを利用するには、Webブラウザや外部アプリによるパスワードマネージャが不可欠です。

今後、IDやパスワード以外の方法で認証が行われるケースが増えていくことが予想されています。しかしながら、印鑑を捺す紙の書類がなかなか無くならないように、IDとパスワードによる認証も簡単に無くなることはないでしょう。

あらゆる企業の情報セキュリティ対策を支援！ハイパーのセキュリティア推進部

詳細はこちら：https://www.securitier.jp/security/ciso/cisocs/

まとめ

・大手住宅メーカーが被害にあったサイバー攻撃は、運用を終了したサービスが狙われた
・システム管理者やサービス運用者は、適切にサービスを管理することを徹底する
・ユーザー側でも同じパスワードを使いまわさないなどの適切な運用が重要