相次ぐ漏えいで政府機関が一斉に注意喚起 IPAは点検手順を提示

何が公表されたのか

国内の金融機関や通信事業者など、幅広い事業者で不正アクセスによる情報漏えいの公表が続いています。これを受けて、10月上旬に政府機関などが相次いで注意喚起を出しました。国家サイバー統括室は10月14日、個人情報保護委員会、警察庁、金融庁、総務省、経済産業省、IPA、NICT、JPCERT/CC の注意喚起を一つのページにまとめています。

このうち情報処理推進機構（IPA）は10月9日、経営者が主導して進める点検と対策をまとめました。特定の製品の脆弱性を狙った攻撃とは断定されていませんが、公表された事例からは、外部に公開しているアプリやサービス、アカウントの乗っ取りが起点になっているとみています。

速やかに行う3つの点検

1つ目は、自社で作って公開しているアプリの点検です。直近のログに、エラーが急に増えるなど普段と違う動きがないかを見ます。範囲はまず直近1か月、次に3か月と広げ、未適用の修正プログラムがあれば早く当てます。

2つ目は、使っている外部サービスの洗い出しです。クラウドや VPN を含め、部署単位の利用まで把握します。ログイン失敗の量やログイン元、時間を普段と比べ、作った覚えのないアカウントがないかも確かめます。異常が見つかれば事故として扱い、専門の会社に調査を頼むよう強くすすめています。

3つ目は、持っているデータの見直しです。不要な情報は持たないことを原則にしています。

何が使われているのか

JPCERT/CC は10月8日の注意喚起で、確認された手口をまとめています。既知の脆弱性を次々に試す攻撃、設定ファイルやバックアップファイルを盗む攻撃、スマートフォンアプリを解析して内部の API を不正に操作する攻撃などです。社員向けの管理システムや BI ツール（社内データの分析ツール）など、外部の人が使わないシステムも被害に遭っています。