連載
» 2016年12月28日 05時00分 公開

セキュリティのアレ(40):「フラット35」情報漏えい事件から学ぶ基本の大切さ

セキュリティ専門家が時事ネタを語る本連載。第40回は住宅金融支援機構(優良住宅ローン)が10月に公表した情報漏えい事件を振り返ります。

[根岸征史(インターネット イニシアティブ), 辻 伸弘(ソフトバンク・テクノロジー株式会社), 宮田健,@IT]
本連載に関するご意見・ご感想などはこちらまで!
Twitterハッシュタグ
#セキュリティのアレ

実事例から学ぶ基本の大切さ

 セキュリティ専門家が時事ネタなどを語る連載「セキュリティのアレ」。第40回は、住宅金融支援機構(優良住宅ローン)が公表した情報漏えい事件を取り上げます。解説するのは前回に引き続き、根岸征史氏と辻伸弘氏。本連載に関するご意見、ご感想はTwitterハッシュタグ「#セキュリティのアレ」までお送りください。

@IT 編集部 宮田健、ソフトバンク・テクノロジー 辻伸弘氏、インターネット イニシアティブ 根岸征史氏 @IT 編集部 宮田健、ソフトバンク・テクノロジー 辻伸弘氏、インターネット イニシアティブ 根岸征史氏

宮田 セキュリティのアレ、2016年最終回です。今回は2016年10月に住宅金融支援機構(優良住宅ローン)が公表した「フラット35」の利用者情報の漏えい事件を取り上げます。3万7000件超の機微な情報が漏えいした可能性があるとの発表がなされましたが、発表の中に気になるところがあったそうですね?

根岸氏 この事件は、複数の役職者のメールアカウントに対して第三者が勝手に転送設定を行い、一定期間メールが外部に流れてしまっていたというものでした。まずこの手口自体が、他の情報漏えい事件ではあまり見られないものです。

 それから、システム管理者が転送設定を解除した後に、メールの中身を開示しないことと引き換えに金銭を要求する“脅迫メール”が届いたという点も、通常の情報漏えいとは少し違う、きな臭い感じがしましたね。

辻氏 私もニュースリリースの文言が気になってこの事件について調べていました。不正アクセスされたのが「メールサーバ」ではなくて「メールの管理サーバ」と書かれていた点です。

 調べた結果、どうやらメールサーバもWebサーバもオンプレではなく、外部のホスティングサービスを利用しているらしいことが分かりました。そのサービスにはメールやWeb用の管理画面があって、あくまで推測ですが、恐らくここが突破されたのではないかと考えています。


 動画本編では、被害に至った経緯について幾つかの可能性を考えつつ、本件のような被害はどうすれば防げるのかを探っていきます。ぜひご覧ください。

画像クリックで連載トップページへ

Copyright© 2017 ITmedia, Inc. All Rights Reserved.

@IT Special

- PR -

TechTargetジャパン

この記事に関連するホワイトペーパー

RSSについて

アイティメディアIDについて

メールマガジン登録

@ITのメールマガジンは、 もちろん、すべて無料です。ぜひメールマガジンをご購読ください。