事故・被害の事例

　大手エステ会社のホームページで、資料の請求のために登録された３万件以上の氏名、住所、年齢、メールアドレスなどの個人情報が漏洩したという事件がありました。

　原因は、Webサーバの初歩的な設定ミスでした。この情報漏洩事件では、登録情報の中に、エステに関心を持っている理由や体のサイズといった重要なプライバシー情報があったために、とても大きな問題になりました。

　この事件だけでなく、ホームページで登録された個人情報が漏洩する事件は、数多く発生しています。たとえば、懸賞やプレゼントの応募者名簿、アンケートの情報、商品の購入者名簿などの漏洩事件が発生しましたが、これらのほとんどは基本的なサーバの設定ミスや脆弱性対策の不備が原因でした。

　ホームページの改ざん（書き換え）は、インターネットにおいて頻繁に発生する事件のひとつです。2000年代前半には、官庁のホームページが狙われて、相次いで改ざんされました。その後も現在に至るまで、同じような手口で、自治体や大手企業、学校などのホームページが改ざんされています。

　ホームページの改ざんは、目的を持って特定の団体や企業を攻撃する場合と、無差別に情報セキュリティ対策の甘いホームページを改ざんする場合に分けることができます。

　ホームページの改ざんというと、とても高度な攻撃者によるものと思われるかもしれませんが、実際はFTPサーバの管理で安易なパスワードを設定していたり、既知の脆弱性をそのまま残していたりと、基本的な情報セキュリティ対策を怠っていた場合がほとんどです。

　Pさんは、いつも利用しているお店のメールマガジンに登録しています。このメールマガジンでは、新製品の紹介やバーゲンセールの案内を定期的に送信してくれるので楽しみにしていました。

　ある日、このお店からメールマガジンが届けられましたが、何かいつもと違いました。よく見ると、電子メールのヘッダに大量のメールアドレスが記載されています。確かに自分のメールアドレスもその中に含まれているのですが、それ以外のメールアドレスにはまったく見覚えがありません。

　実は、ここで記載されている大量のメールアドレスは、メールマガジンの他の登録者のものだったのです。

　証券会社の顧客になりすまして、オンライントレードのシステムを利用して株の売買を行った情報処理サービス会社の社員Aが、不正アクセス禁止法違反、私電磁的記録不正作出・同供用で逮捕されました。

　情報処理サービス会社の社員であったAは、派遣先の証券会社でオンライントレードのシステムに関わる作業を行った際に、ユーザ名やパスワードなど、約3万8000人分の顧客情報を自分のノートパソコンにコピーして不正に入手していました。社内の自分の評価に不満があり、トラブルを起こすことそのものが目的であったそうです。

　ある会社での出来事です。Sさんが会社の情報管理担当者になって、もう3年になります。もともとコンピュータが好きなSさんだけあって、会社内の情報セキュリティ対策は万全と考えています。

　それぞれの社員が使用するコンピュータはもちろん、サーバにもウイルス対策ソフトが導入されています。ウイルス対策ソフトに対しては、定期的なウイルス検知用データの更新も行っています。そして、外部からの侵入に備えて、ネットワークにファイアウォールも設置しました。

　しかし、ある日、Sさんがインターネットの電子掲示板を見てみると、なんと自分の会社の顧客情報が漏洩していることがわかりました。いったいどうして・・・。

　T君は大の音楽好きです。T君は大量の音楽データをまとめてダウンロードするために、ちょっと会社のネットワークを拝借することにしました。会社で自分が使っているパソコンに、ファイル共有ソフトを入れてみると、あっという間に好きな音楽データがたまっていきます。

　そんなある日のことです。ファイル共有ソフトでダウンロードしたひとつのファイルを開いたときに、T君の使用するパソコンがウイルスに感染してしまったのです。しかし、T君はウイルスに感染したことにはまったく気づきません。しばらくすると、社内でインターネットの電子掲示板に、会社の名前が出ているということを耳にしました。

　T君がその電子掲示板にアクセスしてみると、なんとそこにはT君が使用しているパソコンのデスクトップ画面の画像が公開されているではありませんか。そして、デスクトップ画面には、大切なお客様に送信した重要な電子メールの内容がしっかりと記されていたのです。

　Wさんの会社は、自社製品を販売するためにショッピングサイトを構築することになりました。会社には情報システム部もないし、ITに精通したスタッフもいません。担当部署の中で一番若く、コンピュータに詳しいという理由で、Wさんが専任者に選ばれたのです。

　さて、早速業者にホームページ制作とシステムの構築を依頼し、なんとかショッピングサイトの公開にこぎ着けました。直販サイトなので価格も安く、ここでしか販売しない商品を取りそろえたのが良かったのでしょうか、運用開始直後から少しずつ売り上げも伸びてきました。このまま行けば、人気サイトと呼ばれる日も近いのかもしれません。

　そんなある日のことです。このサイトが繁盛していることを知った悪意のある人間がいました。彼は会員ページの入り口にあるログインページに目を付けました。ログインページのユーザID入力欄に、コマンドを含む特殊な文字列を入力する「SQLインジェクション」という手法を試みました。すると、なんとパスワードを知らなくても、会員ページにログインできてしまうことが分かりました。会員ページに入ってしまえば、会員の住所や氏名、電話番号、購入履歴の他に、クレジットカード番号まで参照できるのです。このような方法で、Wさんの会社のショッピングサイトから会員の個人情報が大量に漏洩してしまったのです。

　ある組織が所有している機密情報が、電子メールで外部に送信されていることが判明しました。

　この組織の内部から外部に向けた通信の中で、不審な通信が発見されたため、その通信元のパソコン1台を特定し、ただちにネットワークから切り離して調査をしました。その結果、その1台のパソコンがウイルス感染していることが判明したのです。さらに、その後の長い調査の結果、このパソコンに感染していたウイルスによって、組織内部の情報収集が実行されていた痕跡と外部と通信していた事実が確認されました。

　発端は、ある職員の電子メールアドレスに、知人を装ったウイルス付きのメールが送られたことからでした。職員はこのメールを不審なメールであると全く疑わずに業務用のパソコンで開封し、ウイルスに感染してしまいました。しかもその後も、パソコンの調子に特に変わったところがなかったので、ずっと感染に気づかなかったのです。しかし、このメールは実際には知人から送られたメールではなく、送信元を偽った標的型攻撃のメールだったのです。

　Aさんは、地方自治体の相談窓口のホームページに「トラックとナイフで無差別殺人をする」という内容の犯行予告を投稿したという威力業務妨害の容疑で逮捕されました。

　この事件の捜査において、ホームページの通信記録に残っていたIPアドレスから、Aさんのパソコンが特定されたため、逮捕されたのです。Aさんは、取り調べの中では容疑を否認しましたが、1ヶ月弱拘留され、ようやく釈放されました。

　この事件で、Aさんは実際の犯人ではありませんでした。Aさんのパソコンはインターネットの掲示板でコンピュータウイルスに感染し、真犯人がAさんのパソコンを遠隔操作して、ホームページへの犯行予告の書き込みをしたため、本人の自覚がないまま犯罪に加担させられてしまったのです。Aさんが犯行予告の書き込みをしたように、通信記録が残っていました。

　ある有名なゆるキャラのSNSのアカウントが乗っ取り被害に遭いました。さらに、同じ日にこのゆるキャラの偽アカウントも作成されました。

　このアカウントのフォロワー（SNS投稿の購読者）から「(この有名なゆるキャラから)アカウントをブロックされた時と同じ症状が出ている」といった旨の報告があり、調べた結果、乗っ取りが判明したのです。このアカウントには、悪意の第三者がログインしていることが判明したため、アカウント閉鎖を行い、新アカウントを作成し移行することを発表しました。

　そのため、一時は、このゆるキャラのアカウントが、旧アカウント、新アカウント、偽アカウントの3つが同時に存在し、ゆるキャラの運営者や当時20,000人以上いたフォロワーが大混乱に陥る事態となりました。

　Bさんは、撮りためたデジタルカメラの画像を整理するうちに、気に入った写真の加工をしてみようと思い立ちました。しかし、どんな画像の加工ソフトがあるのか知りませんでした。そこで、検索エンジンを利用して、よく使われていて評判のよい無料ソフトを使うことにしました。

　検索エンジンの上位に出てきた口コミサイトで、ある無料ソフトの口コミを見てみると、かなり多数の人がダウンロードしていて、評判を表す☆の数も多く、そのソフトを推奨するコメントばかりでした。またそのソフトは、ある有名ダウンロードサイトから配布されていると説明されていました。そこでBさんは安心して、その無料ソフトを使うことにし、その口コミサイトに掲載されていたリンクから、有名ダウンロードサイトに行き、ソフトをダウンロードしました。

　利用してみると、口コミサイトに書かれていた評判ほどよいソフトという感じはしませんでしたが、基本的な機能は備えており、無料ソフトということで納得し、そのまま利用していました。

　ベンチャー系中小企業のC社は、インターネットのサービスをすぐに使えて、コストも削減できるというメリットから、クラウドサービスの1つであるレンタルサーバのサービスを利用することにしました。このサービスのおかげで、C社の業務は効率よく順調に進んでいました。

　そんなある日、C社からレンタルサーバに接続できないという症状が発生しました。サービス事業者に連絡してみると、障害が発生し利用できないとのことでした。さらに、しばらくすると、レンタルサーバ内にあった、C社の業務で利用している重要データが消えてしまっており、その復旧もできないという連絡が来たのです。

　その重要データは、このレンタルサーバにしか保存しておらず、C社側でバックアップも取得していませんでした。サービス規約をよく読んでみると、データのバックアップや復旧は、最終的には利用者の責任であると書いてありました。C社としては、すべて丸投げ可能のサービスで、このような責任や業務は発生しないと考えて利用していたのです。業務もできなくなり、重要データも消えてしまい、C社の社員たちはただただ途方に暮れるしかありませんでした。

　Webブラウザを使っていたら「ウイルスに感染した」と表示されました。クリックすると、ウイルス対策ソフトを購入するように表示されました。これって、購入した方が良いですか？

　これはWebブラウザの通知機能を使ったサポート詐欺です！

• ウイルス検出ソフトからこのようなメッセージは表示されません
• OS（Windows）からこのようなメッセージは表示されません
• 「****に電話してください」ソフトウエア会社はそこまで親切ではありません

　この手口のやっかいなところは、脆弱性を狙ったものではなく、Webブラウザの標準機能を悪用しているところです。一部のWebサイトでは、Webサイトを閲覧した方に、Webブラウザの通知機能を使ってメッセージ表示をする場合があります。特殊なものではなく、広く一般的に使われている手法です。