トピック
タグを選んで、関連するニュースを読み返す。
ソースネクストは10月15日、会員情報を管理するシステムへの不正アクセスで個人情報が外部に流出したと公表しました。流出した可能性のある情報は22,519,960件で、メールアドレスやパスワードなどが対象項目に含まれます。利用者にはパスワードの再設定を求めています。
国内ソフトウェア利用者の認証情報に関わる大規模事案です。同じパスワードを他サービスでも使う利用者は、公式案内に従って使い回し先も変更し、便乗したフィッシングに注意する必要があります。
Gartnerは10月13日、日本企業で相次ぐ不正アクセスに関する緊急提言を公表しました。公開アプリやAPIの点検、システムを横断したログ調査、委託先の対応確認などを挙げ、経営者が主導して対策を進める必要性を訴えています。
日本の開発・運用担当者が、脆弱性修正だけでなく認証・認可や設定、外部委託先も含む点検を経営判断につなげるための整理です。定期診断に加え、継続的に弱点を把握し修復する体制づくりを考える参考になります。
NICTは10月13日、公開Androidアプリの解析情報を使ってバックエンドサーバを攻撃する手法を特定したと発表しました。LETTICEが「A2B攻撃」と名付け、侵害確認、脆弱性点検、暫定的な緩和策の3種の対策と侵害指標を公開しています。
国内のアプリ開発者には、クライアントに含まれる通信仕様が解析される前提で、サーバ側の防御を確認する必要性を示す情報です。アプリの公開範囲だけで安全性を判断せず、APIやバックエンドの点検につなげる手掛かりになります。
JPCERT/CCは10月8日に国内で相次ぐ不正アクセスを注意喚起し、9日に攻撃の痕跡を追加しました。API悪用などの事例に加え、アプリケーションサーバーへのWebシェル設置を紹介し、社内管理システムも含めた点検を促しています。
前日掲載のIPAによる一般的な点検要請を補う、技術的な調査情報です。国内の開発・運用担当者には、APIの認可、トークン管理、公開範囲を確認し、BIツールや管理システムのログも調べる具体的な手掛かりになります。