カテゴリー: I　C　T

2/26付け日本経済新聞に「サイバー保険に『ベネッセの呪縛』個人情報の安さ普及阻む」という記事がありました。サイバー保険があることを知っている中小企業でも、その加入率は6.9％でしかないんだそうです。日本の個人情報の安さがその原因だとしています。

ベネッセの個人情報漏えい事件

2014年にベネッセ（進研ゼミの会社）の委託先の契約社員が個人情報を不正に外部に持ち出し、3000万件を超える個人情報が名簿業者に売却されるという事件が起きました。この事件の被害者に対し、ベネッセは金券500円を配ったというお話です。

万が一個人情報が漏えいしても、一人500円くらいなら、、、ということでインパクトがなく、日本ではサイバー保険が浸透しないということを言ってる記事ですね。確かに、GDPRやカリフォルニアの新法の下では、個人情報の漏えいでも高額の制裁金や損害賠償となります。

しかし、この記事、サイバー攻撃＝個人情報漏洩、的な論調になり過ぎてますね。いまどきのサイバー攻撃は攻撃対象とした中小企業の情報だけを狙っているわけではありません。何でもかんでも繋がってる時代です。中小企業を攻撃してそこから繋がっている取引先大企業だって狙われます。ECサイトが攻撃されれば、何日も商売が止まってしまいます

メディアにも責任

新型コロナウィルスはこれでもかというほどニュースにしますが、どこかの企業がサイバー攻撃を受けて、結果どういう実害が生じたか、、、なんて調べもしないし、ニュースにもなりません。毎日のように攻撃を受けた企業が出てくるのに、ものの２～３日もしたらどこも報道しなくなります。

コロナウィルスは病気に感染する恐怖ではなく、自社で感染者を出すレピュテーショナルリスクに対する恐怖に変化しているように感じます。メディアの力、もの凄い破壊力です。サイバーリスクも同じように報道すればいいのに。自社が踏み台になって大勢の被害者を出してしまうリスクを企業経営者に実感させるような報道を。。。そう思いません？

当ブログでも何度か取り上げたことのあるフィッシング詐欺。新型コロナウィルスに関連した新しい手口も確認されたそうです。お店で手に入らなくなったマスクを無料でとか、在庫があるように見せかけた悪質なショッピングサイトに誘導するといった手口のようです。

フィッシング

日本サイバー犯罪対策センターが2/4付で注意喚起しています。まず一つ目はフィッシング。以前、佐川急便等の運送会社を名乗ったSMSを利用したフィッシングが話題になりましたが、ほぼ同じ手口だそうです。

SMSで送られてくる文面は「新型コロナウィルスによる肺炎が広がっている問題で、マスクを無料送付確認をお願いします」というもの。これに応じるとフィッシングメールをばらまく不正アプリがインストールされてしまうらしいです。踏み台にされるということですね。

SMSの文面自体は不自然な日本語なんですが、日本国内これだけパニクってる状況ですから、思わずタップしてしまう人が居るんでしょうね。利用者の心理につけ込んだ非情な手口です。

悪質なショッピングサイト

インターネット利用者がマスクなどを検索した際、上位に表示されるように細工されているサイトのようです。そのリンクを押下した利用者は悪質なショッピングサイト（公式サイトをに偽装した偽ページ）に自動的に転送されます。そこでは商品を発送しなかったり、会員登録時の個人情報や決済時のクレジットカード情報等を盗み取るんだそうです。

このようなサイトで、マスクの在庫があるように見せかけるわけですね。今、「マスク　在庫あり」で検索してみたところ、楽天市場や通販モノタロウ、ビックカメラとかいろいろ出てきます。名前の通った企業だからといって安心はできません。そもそもそのリンクが偽物だったりするわけですから。読者のみなさま、お気を付けください。

ちょっとこのニュースは見おぼえなかったんですが、エライことですね。昨年11月上旬に外部へ公開したサーバが不正アクセスを受け、踏み台とされたうえでフィッシングメールを送信されてしまったとのこと。なんとその数、、、3,086,870件です。こりゃ酷い、何が酷いって・・・。

昨年11月28日に認識

昨年11月28日に外部からの情報提供により同大学研究室からフィッシングメールが送信されていることを確認しています。さらに、すぐにネットワークを遮断し、、、までは良いんですが、公表が今年1月28日です。2か月間も何してたん？ってことですよね。

内部情報にアクセスされたくらいであればまだしも。11/28にフィッシングメールが送信されたことを把握してるんですよね。そのメール見て釣られて偽ホームページで詐欺に引っ掛かる人がこれからたくさん発生する可能性があるんです。これだけのリスクを認識しながら、なぜ2か月も隠ぺいしてきたんでしょう。防衛装備等、国防に関する秘密なんてこの大学にないでしょうに。

お願い

公表文の最後に「お願い」とあります。「11月4日～11月28日の間、本学のIPアドレス[133.65.65.66]が送信元になっているメールについては、ご注意くださいますようお願いいたします」。同大学からのフィッシングメール、初期段階で受信した人にとっては約3か月前に受け取ったメールですよ。マジで酷すぎますね。

お茶の水女子大学を騙ったメールは確認できていないといいます。ということは受信者がお茶の水女子大学でこんなことが起きていることを知っても、自分が被害者であることを理解できないわけです。同大学のように、不正アクセスにより踏み台として利用された企業等が、損害賠償請求されるケースは今後出てくるといわれています。これ、第1号になるんでしょうか。