ソニー株式会社による「PlayStation®Network / Qriocityへの不正アクセスに関する説明会」における、テクニカルライター三上洋さんによる現地からのTweetまとめ。

三上洋 @mikamiyoh

ソニープレイステーションネットワーク不正アクセス記者会見配布リリース1/2 http://twitpic.com/4rrp48

拡大

三上洋 @mikamiyoh

ソニープレイステーションネットワーク不正アクセス記者会見配布リリース2/2 http://twitpic.com/4rrq4w

拡大

三上洋 @mikamiyoh

ソニープレイステーションネットワーク不正アクセス記者会見配布補足資料a http://twitpic.com/4rrrx0

拡大

三上洋 @mikamiyoh

ソニープレイステーションネットワーク不正アクセス記者会見配布補足資料b http://twitpic.com/4rrs5q

拡大

三上洋 @mikamiyoh

ソニー平井「19日に米国で異常な動きを確認調査開始、その結果17日から19日にかけて不正アクセスがあったことが判明、サーバーを停止した。セキュリティ専門の会社に複数依頼し、26日になって個人情報漏洩えの可能性が判明。各ユーザーのメールアドレスに注意喚起を送った」

三上洋 @mikamiyoh

ソニー平井「流出したのは、名前、国と住所、メールアドレス、誕生日、性別、PSNパスワード、オンラインID。漏洩の可能性があるのは買い物履歴、プロフィールデータ、パスワード照合質問、クレジットカード番号。ただしクレカは3桁のセキュリティコードは漏れていない」

三上洋 @mikamiyoh

ソニー平井「●漏洩したと見られる個人情報：氏名、国と住所、メールアドレス、誕生日、性別、PSNのログインパスワードとオンラインID。　　　●証拠はないが漏洩した可能性あるもの：買い物履歴、請求書住所を含むプロフィールデータ、パスワード照合のための秘密の質問、クレジットカード番号」

三上洋 @mikamiyoh

ソニー平井「被害状況だが、現時点でクレジットカードの不正使用、そのほかの金銭的な被害報告は確認していない。FBIなど各国の捜査当局に依頼、日本では警察からの問い合わせはない」

三上洋 @mikamiyoh

ソニー長谷島CIO・業務執行役員・ISセンター長「システムへの侵入経路だがアプリケーションサーバーの脆弱性を突いて侵入され、導入経路を確立。データベースへにアクセスされアカウント情報が保存してあるサーバーから個人情報を盗まれた形。」

三上洋 @mikamiyoh

質問「ファイアウォールやIPSなどのセキュリティをすり抜けたのはなぜか？」ソニー長谷島「脆弱性への攻撃により、正常の通信の形で攻撃されている。そのためファイアウォールやIPSをすり抜けた。従来の方法では検知できないものだった」

三上洋 @mikamiyoh

質問「アプリケーションサーバーの脆弱性は既知か？未知か？　また対処していたのか？」　ソニー長谷島「既知の脆弱性。脆弱性への対応に不備があったと思っている。具体的には脆弱性について対処していなかった」

三上洋 @mikamiyoh

質問「攻撃主体は？いわゆる『アノニマス』なのか？」　ソニー平井「攻撃主体は判明していない。『アノニマス』からソニーに対する様々な攻撃がここ数ヶ月行なわれていることは事実だが、今回の攻撃がアノニマスのものではあるとは判明していない」

三上洋 @mikamiyoh

質問「クレジットカード番号は流出しているのか？その枚数は？」　ソニー平井「カード番号が漏れた証拠はみつかっていないが、逆に漏れていなかった証拠もない。そのため流出した可能性はある。流出の可能性があるのは1000万件」

三上洋 @mikamiyoh

質問「具体的に何が流出したのか？件数は？」　ソニー平井「どのデータが流出したのかは判明していないが、前述の通り、可能性が高いデータと、可能性が低いデータの2種類がある。全体で7700万件に流出の可能性がある」

三上洋 @mikamiyoh

質問「パスワードは暗号化されていたのか？」　ソニー平井「暗号化ではないが、ハッシュ化は行なっていた」

三上洋 @mikamiyoh

質問「今日出ている情報は27日とほぼ同じもの。それなのに会見が遅れたのはなぜか？」　ソニー平井「PSNのネットワーク再開や、各国の保険の状況などを確認するのに時間がかかった。日曜日に会見することになったのをお詫びしたい」

三上洋 @mikamiyoh

質問「退会できるのか？従来の規約には退会がなかったが？」ソニー平井「従来までPSNは課金を伴わないため、退会の手続きがなかった。しかし今回の事態をふまえ、退会を希望されるお客様には対応したいと考えている」

三上洋 @mikamiyoh

質問「アメリカSCEからはブログで早く情報が流れていた。日本で遅れたのはなぜか？」　ソニー平井「アメリカとヨーロッパではブログを展開していたが日本にはなかったため。今後は日本でもブログで情報公開することを考えている」

三上洋 @mikamiyoh

質問「情報流出に対する補償は？」　ソニー平井「クレジットカード不正利用の被害は確認していないが、被害が出れば補償したいと考えている。また再発行手数料などについても補償を検討していく」

三上洋 @mikamiyoh

質問「流出の被害にあった人に対する、一律のお詫びとしての補償は考えていないのか？」　ソニー平井「実際に出た被害については補償するが、一律の補償は今のところ考えていない」

三上洋 @mikamiyoh

質問「今後のセキュリティ対策は？」　ソニー長谷島「データセンター移管を計画していたが、前倒しにしてすでにデータを移行させた。不正アクセス監視の強化と環境設定項目の管理機能を強化。データ保護と暗号化のレベルを強化、そしてファイアウォールを増設する」

三上洋 @mikamiyoh

ソニー平井「サービスの再開にあたりPS3のシステムソフトウェアをバージョンアップする。それによりPSNの全ユーザーのパスワード変更を実施。ユーザーの皆様には申し訳ないがパスワードを変更をお願いしたい。またクレジットカードの利用履歴を確認お願いしたい」

三上洋 @mikamiyoh

ソニー平井「お客様へのお詫びとして、特定コンテンツの無料ダウンロード、Playstation Plusの30日間無料加入、及び現行会員向けに30日間無料提供を行なう。また地域ごとの独自サービス提供も。」

三上洋 @mikamiyoh

ソニー平井「再開の目安については、PS3とPSPのオンライン対戦やログインが必要なゲームのプレイは、1週間以内を目安に地域ごとに順次再開する。PSNサービス全体の全面再開は5月中をめざす」

三上洋 @mikamiyoh

ソニー平井「ソニーグループにとってネットワーク戦略は最重要戦略なので、今後もいっそう強化していく」