流行ってよりも流感って感じかしら？

http://japan.cnet.com/news/sec/story/0,2000050480,20085051,00.htm
http://www.mainichi-msn.co.jp/keizai/it/24hour/news/20050706k0000e040053000c.html
http://www.itmedia.co.jp/news/articles/0507/06/news023.html
http://www.asahi.com/national/update/0706/TKY200507060138.html
http://it.nikkei.co.jp/security/news/index.aspx?i=2005070602579ca
http://motivate.jp/archives/2005/07/post_66.html
毎度おなじみ「不正アクセスさん いらっしゃ〜い」のお時間よ。
今日のお客様は旅行会社クラブツーリズムさん。パートナーのクラッカーは中国籍の私立大学３年生の男の子*1。
なんかあちこちのニュースでまたホールについてはぼかしてるんですけれども。どうも


http://www.asahi.com/national/update/0706/TKY200507060138.html より
サイトの欠陥をついて、外部から不正な命令を入力してデータベースを直接操作する「ＳＱＬインジェクション」という手法を使用。攻撃に使ったソフトは、中国語のインターネットサイトから入手したという。
ってことらしいわ。…ふぅ。やっぱり、最近の流行のアタック方法なのね。どんなにお堅い男の子(企業)でも このアタックで落としちゃうぞ!!って感じかしら？
どこぞのティーンエイジ系雑誌のマニュアルデートコーナーでもきょうび取り上げてもらえなさそうなくらい、陳腐なタイトルになりそうだわ。


それにしてもまぁ。

http://it.nikkei.co.jp/security/news/index.aspx?i=2005070602579ca より
郁容疑者は３月15日から17日にかけ、自宅のパソコンからクラブツーリズム社が管理するサーバーに19万回にわたって不正に侵入し、ネットでツアーを申し込んだことがある会員のＩＤやパスワード、住所、氏名、性別、生年月日、メールアドレスなど計約16万件を盗んだ疑い。


http://www.asahi.com/national/update/0706/TKY200507060138.html より
ハイテク犯罪対策総合センターの調べでは、郁容疑者は３月１５〜１７日、自宅のパソコンからいったん米国やフィリピンにあるサーバーを経由して、クラブツーリズムが管理・運営するサーバーに約１９万回にわたって不正に侵入。インターネット会員の氏名、住所、電話番号などの顧客情報を盗んだ疑い。
−中略−
さらに、１月には静岡新聞社の就職支援サイトに不正に侵入して４万件、５月中旬には大手人材派遣会社「アデコ」（港区）のサイトから約８万件の登録者情報を抜き取った疑いがあるという。


http://japan.cnet.com/news/sec/story/0,2000050480,20085051,00.htm より
調べでは、郁容疑者は３月１５〜１７日、計１９万回にわたって自宅のパソコンから、千代田区内のクラブツーリズムのコンピューターサーバーに不正アクセスし、同社の会員の名前や会員番号、パスワードなどの個人情報約１６万件を取得した疑い。
コンピューターのセキュリティーの穴を探し、情報を入手する中国国内で公開された攻撃プログラムを使ったとみられる。同様に今年１〜６月、カカクコムから約９万件、アデコから約８万件、静岡新聞社から約４万件の個人情報を取得していた。


http://japan.cnet.com/news/sec/story/0,2000050480,20085051,00.htm より
ユー容疑者は2005年3月15日から17日までの間、約19万回にわたって保有するPCからクラブツーリズムのウェブサーバに不正アクセスを繰り返した疑いが持たれている。クラブツーリズムでは、インターネット会員である最大約9万300名の会員ID、パスワード、氏名、住所、電話番号、携帯番号、FAX番号、会社名、会社部署名、会社住所、会社電話番号、メールアドレス、生年月日、性別の情報が流出した可能性があると発表していた。
同容疑者は同じ手口を使って他社のウェブサーバにも不正にアクセスした疑いがある。警視庁によれば同容疑者は14社のウェブサーバから合わせて約52万件の個人情報を入手したという。この中にはカカクコムやアデコ、静岡新聞社などが含まれるものとみられる。
っていう状態で、ましてや


http://www.asahi.com/national/update/0706/TKY200507060138.html より
調べに対し、「学費を稼ぐためにやった」と供述しているという。

http://japan.cnet.com/news/sec/story/0,2000050480,20085051,00.htm より
郁容疑者は容疑を認め、「学費のために金が欲しかった」と、一部を販売したことも認めているという。
なんていう相手よ？
んなもの「とっととあちこちに売っぱらいまくる」に決まってるじゃない。そんな簡単なこともわからないのかしら？
これで「悪用された形跡は今のところない」とかって必死に弁明しているあたりが、もはや滑稽の領域に達してるんじゃなくってかしら？
当の旅行会社様もこんな風におっしゃってるわ*2。

http://www.club-t.com/security/index.htm より
流出事件発生から約3ヶ月間におよび、当社では外部のセキュリティ対策専門会社の協力を得ながら、当初にご報告いたしました事象以外に、その他の要因や影響がないかを徹底的に調査いたしてまいりました。その結果、当初にご報告いたしました以外の情報流出の可能性、および流出した情報が悪用されたという明らかな事実は現在のところ確認いたしておりません。
ふぅ…認識能力がよほど欠落しているのね？
それとも、被害者に対する「無意味な」リップサービスなのかしら？


まぁ…根本的に「セキュリティってものを理解するために必要な知能が欠落」してるのよねぇ。だって。ほんの少しでも知能とか知恵とかって類のものがあれば

http://www.club-t.com/security/index.htm より
また、再構築後のサイトにつきましては、セキュリティ対策専門会社による診断テストを繰り返し実施し、脆弱性がないことも確認いたしております。
って発言なんてできないはずですもの。


まぁ結局のところ「火傷しないと覚えない」ってのが企業の体質なのよねぇ。ただ、その火傷が「随分広範囲に他人様を巻き込む」点が問題なんですけれども。
で、「人の振り見て我が振り」を直すどころか、自分が火傷をしてですら「喉元過ぎれば」状態が容易に想像できる、ってのが最大の難点だわね。
後は「マスコミとか使って"被害者面"」をしていけば完璧かしら？
もっとも、あたしならそんなでこぼこな邪神でも祀ってようかって円盤、二度と蘇れないくらい深いところに埋葬しちゃうんですけれども。


そうそうひとつ書き忘れたわ。この中国の男性、あたしの予想だと高い確率で「生贄の羊」になるわね。
それを考えると、ほんの１ミリほどは同情して差し上げても「よろしくってよ？」。

*1:って言っても27歳なのよね

*2:時間軸が違う？ 甘いわねぇ。「今なおサイトを修正していない」あたりで確実にアウトですし、そもそも「悪用の可能性」を念頭に入れていないあたりでリスク管理という立脚点からすでにアウトだわ？

滑らかなペーストになりそうなくらいあたったゴマだわ？

http://motivate.jp/archives/2005/07/75.html
http://takagi-hiromitsu.jp/diary/20050704.html#p01
http://www.st.ryukoku.ac.jp/%7Ekjm/security/memo/2005/07.html#20050706__gaia
http://www.tv-tokyo.co.jp/gaia/backnumber/preview050705.html
昨日放映された


http://www.tv-tokyo.co.jp/gaia/backnumber/preview050705.html より
日経スペシャル「ガイアの夜明け」　７月５日放送　第１６８回

サイバー攻撃との闘い
〜ＩＴ犯罪から会社を守れ〜

のお話よ。
まぁ…手緩さ感いっぱいっていうか、企業へのゴマすりに熱心っていうか。そんな感じだったわ。


http://motivate.jp/archives/2005/07/75.html より
「何が原因で、どうすれば被害を防げたのか。」
「被害発生時の対応はどうあるべきだったのか。」
「同種の事故防止に向け今後何を整備していかなければならないか。」
というような話題は一切触れず、不気味なハッカーを神格化し、視聴者の恐怖心を煽り、被害を受けたらひたすら徹夜でシステムを再構築、挙句の果てに「ウィルス対策ソフトのパターン更新」と「万全のセキュリティ対策」の一言で全てを片付けるとは・・・。
そうねぇ。実際にあんまり詳細をやってしまうと、一般向けからは程遠い番組になってしまうとは思うの。一応「さしてコンピュータに詳しくない方」もターゲット視野内に捉えておくべきだとは思うの。
ただそうは言っても、昨日の「あれ」はあんまりにも「企業ががんばっているところを美化してそこで全て片付ける」感じが強すぎるわ。
武田様がおっしゃってるような内容を「ある程度一般化した形で」表現できるさじ加減ができれば素晴らしかったんでしょうけれども…まぁ相当なスキルが必要そうだわね。
で、それをやらずに「企業よいしょ」に走ってるあたりに、あの番組の甘さが見え現われしているわ*1。


それにしてもまぁ…センセーショナルな書き方がうまいのはマスコミならでは、って感じだわねぇ。

http://www.tv-tokyo.co.jp/gaia/backnumber/preview050705.html より
【ネット企業を突然襲ったサイバー攻撃】
５月、価格比較サイトの最大手・カカクコムをサイバー攻撃が襲った。何者かが同社のサーバーに不正にアクセスしたことが判明。しかも、ウェブサイトを閲覧した利用者にコンピューターウイルスを無差別に送りつけるよう、プログラムが改ざんされていたことも分かった。カカクコムはサイトの閉鎖に踏み切り、穐田誉輝（あきた・よしてる）社長は記者会見でユーザーや顧客企業に向けて謝罪した。
きゃぁ格好いいわぁ。なんかこの文章「だけ」を読んでると、ふっとこんなことを思っちゃうわ。

  • 突然の「悪意ある」攻撃に翻弄される企業
  • 企業は「意を決して」サイトの閉鎖に踏み切る!!

次週「狙われた個人情報」。君の心に「セキュリティー ON!!」
…どっかのアニメみたいだわね(笑


まぁどっちにしても「やたら陳腐に持ち上げてる」って感じだとあたしは捉えたわ。


http://www.tv-tokyo.co.jp/gaia/backnumber/preview050705.html より
穐田社長の陣頭指揮の下、サイト復旧へ向けた戦いが始まった。再発を防ぐためのセキュリティー対策、顧客企業やユーザーの信頼を取り戻すための対応――。会社の存亡を賭けた戦いを、独占密着取材した。
素敵ねぇ。「。会社の存亡を賭けた戦いを」とかって言い回しが特に。
で、なぜかセキュリティホールの話からいきなり


http://www.tv-tokyo.co.jp/gaia/backnumber/preview050705.html より
【ばらまかれたウイルスはスパイウェアだった！】
カカクコムのサイバー攻撃でばらまかれたウイルスの正体とは何か？　ウイルス対策ソフト大手のシマンテックによれば、そのウイルスに感染すると、あるオンラインゲームの起動中にキー入力情報を外部に送信されてしまうという。韓国で開発されたそのオンラインゲームは、日本にも約１０万人のユーザーがいるという人気ソフトだ。
「あのウイルスはスパイウェアだ」と言うのは、日本のスパイウェア対策の草分けといえるＩＴセキュリティー企業、アークンの渡部章社長だ。スパイウェアとは、ユーザーの同意なしに個人情報を収集して送信するソフトウェアのこと。しかし、本当にそんなことができるのだろうか？　番組では実験を試みた。
という風に「スパイウェアの恐怖」ってラインに話が摩り替わってるのよね。
しかも


http://www.tv-tokyo.co.jp/gaia/backnumber/preview050705.html より
【なぜゲームユーザーの個人情報が狙われたのか？】
カカクコムのサイト閉鎖後、同じ手口のサイバー攻撃が新聞社や出版社、ゲームメーカーなどの運営サイトにも相次いだ。しかし、犯人はなぜゲームユーザーの個人情報を集めようとするのか？　そのオンラインゲームは、戦闘で通貨や武器を手に入れ、自分のキャラクターを強くするというもの。ところが最近、ゲーム内の通貨や武器が、現実の世界で高値で売買されるという奇妙な現象が起きている。特に中国では、それが裏ビジネスとなり大きな市場を形成しつつあるという。果たしてサイバー攻撃の目的は、このビジネスにあったのか？
でさらに「スパイウェア路線からの」一歩踏み込んだ考察をかけるの。
つまりこれって典型的に単純な「話をそらす」論調よ？


ま、話をそらしてるあたりですでに色々とアウトって感じかしら？
こうやって「守られた箱入り娘のごとき企業」たちが、更なるネットワーク禍を広げていくのねぇ。
いったい、いつになったらこの風潮がちゃんと問題視されていくのかしら？

*1:隠れてなんかいなくってよ？

今更、なんですけれども…

ふっと気づいたことがあるの。


http://headlines.yahoo.co.jp/hl?a=20050706-00000003-yom-soci より
郁容疑者の手口は、標的とする企業のホームページ上で、特殊な攻撃プログラムを実行し、サーバーに異常を起こさせることで、自動的に個人情報などを流出させるというものだった。この攻撃プログラムは昨年、中国国内向けサイトで使用方法が公開されていた。郁容疑者は、インターネットからこのプログラムをダウンロードして使っていたという。
ってことは平たく言って「スクリプト キディ」だったのよね？
で、狙った穴は

http://www.asahi.com/national/update/0706/TKY200507060138.html より
サイトの欠陥をついて、外部から不正な命令を入力してデータベースを直接操作する「ＳＱＬインジェクション」という手法を使用。攻撃に使ったソフトは、中国語のインターネットサイトから入手したという。
でしょ？
それで

http://headlines.yahoo.co.jp/hl?a=20050706-00000003-yom-soci より
同センターによると、このほか、郁容疑者は今年４月中旬〜５月初旬にかけて、価格比較サイト「価格コム」から約９万件、５月中旬には、人材派遣会社「アデコ」のホームページから約８万件、１月初旬には、静岡新聞が運営する就職支援サイトから約４万件の名前やメールアドレスなどの個人情報を盗み取っていた疑いが持たれている。
ってことは？
やだ。価格.comさまの最高レベルのセキュリティってのがSQL インジェクション入りっぱなしレベルだっていう大変な秘密の露見のきっかけになりかねないじゃない!!
これはとんでもないことだわ。「当社に過失はなかった」「考えられる最高レベルのセキュリティ対策」ですもの。あれは間違いなく「レベルの高い」攻撃だったはずよ？
お願い。誰か否定して。否定して頂戴。そうじゃないとあたし…笑い死にしそうだわっ!!