不正アクセスで年金情報125万件が流出か

■日本年金機構の情報漏えいについてまとめてみた - piyolog http://d.hatena.ne.jp/Kango/20150601/1433166675 ●不正アクセスで年金情報125万件が流出か6月1日 17時32分 NHKニュース  日本年金機構は、年金情報を管理しているシステムに外部から不正アクセスがあり、年金加入者の氏名や基礎年金番号など、少なくともおよそ125万件の個人情報が流出したとみられることを明らかにしました。 日本年金機構の水島理事長は記者会見し、「個人情報が流出したことを深くおわび申し上げる」と陳謝したうえで、年金の支給手続きなどの際の本人確認を徹底するなど、なりすまし対策に万全の対策を取る考えを示しました。 続きを読む
52
OTSUKA Akihiko @otk

IT系鳥頭編集者(が群れを離れ野生化したもの)。ここでつぶやいたことはすべて忘れました。フォロー/リムーブはお気軽にどうぞ。怖くないよ

https://t.co/94enWNsdzW

OTSUKA Akihiko @otk

巧妙な標的型攻撃だったら自分も騙される自信がある。感染そのものよりも、そのほかの情報漏洩対策がどうなってたかという部分が気になる

2015-06-01 17:31:51
awamori @awamori_tt

Tomoko Tanizaki. Journalist / IT Security / CTF team pinja. Search https://t.co/VJmO6DQF6Z with 谷崎朋子 https://t.co/sM7l8eQVpy

awamori @awamori_tt

@otk ですね。多層防御を提唱する会社勢がアップを始めた気配がしますw

2015-06-01 17:33:24
OTSUKA Akihiko @otk

@awamori_tt ビジネスチャーーーンス!セキュリティ銘柄の株でも買っときますか。あはは。

2015-06-01 17:34:50
OTSUKA Akihiko @otk

標的型攻撃ってこのくらい巧妙なので、たぶん騙されない人はいないです :標的型メール攻撃事例(警視庁、PDF) npa.go.jp/keibi/biki7/23… pic.twitter.com/27S9N3e3Nd

2015-06-01 18:12:12
拡大
awamori @awamori_tt

標的型攻撃メール、一昔前よりも本文の日本語の文法が洗練されているというけど、てことは、普段は破たんした日本語メール書く人がある日突然美しい文法で書いてきたら標的型攻撃メールとして破棄しろということですね

2015-06-01 18:18:19
OTSUKA Akihiko @otk

標的型攻撃メールについて、IPAが「見分け方」マニュアルを出してた。ふつうの人間には見分けられない、ということがわかった笑 :IPAテクニカルウォッチ「標的型攻撃メールの例と見分け方」(2015/1、情報処理推進機構) ipa.go.jp/security/techn…

2015-06-02 14:08:40
OTSUKA Akihiko @otk

「機構に送付されたウイルスメールの件名は、厚生労働省が公表している年金関係の文書の見出しと同じだった」標的型攻撃と確定 twitter.com/kyodo_official…

2015-06-02 14:17:17
うりょっさ @uryossa

年金の件、多分標的型攻撃だよね?拡張子がex_の添付で本文に「申請書類送ります。添付の拡張子をexeに変更して実行し、解凍してください。解凍時のパスワードはxxxxです。」って書いてあったら結構信じると思う。で、そのパスワードでファイルが暗号化されてたらAVでは検出不可。

2015-06-02 13:18:21
Da Zhu😷Yiu Jiang @pallmalld

僕が実際に受け取った標的型メール タイトル「緊急、(有名法人名)最終決算書修正3案」 添付ファイル付き←前年度の公開済決算書 勿論被害なし 次の日、re:「同名タイトル」 添付が間違っていたとの本文と添付ファイル 添付がウイルス 宛先間違いと思わせて興味がありそうな添付で感染

2015-06-02 13:05:53
Lyiase @lyiase

東京周辺を徘徊するPHPとRubyが好きなプログラマ。 デザインやマーケティングもお手伝いする。 経済、天文、仮想通貨クラスタ。

Lyiase @lyiase

標的型メール攻撃舐めてる人が多いけど、お前は本当にこれで騙され無いのかって言いたい。 ・取引先のメールアドレスを使って送ってくる ・メールの内容は取引先を装い挨拶まできっちりする ・実際に取引してる内容の資料のように偽装する ・Excelや自己解凍ファイルのように偽装する

2015-06-01 19:42:51
琴雪🌙 @tubakijyou

@lyiase 先生!質問です。開くとファイルはどう見えるのですか?開いたらウイルスって分かりますか?

2015-06-01 19:44:09
Lyiase @lyiase

@tubakijyou A.分からない。 知らないうちに攻撃を許してしまうことになる。 なので予定に無い添付ファイルが来たらまず疑うことが必要。 Excel2007以降なら参照モードで内容を確認してから開くとか、実行されないように添付ファイルを確認していくのが重要になる

2015-06-01 19:50:04
tomo @tomo_091519

@lyiase @Polaris_sky 最初に、エンドユーザーのメールソフトの表示を誤魔化す。 で、日本以外とのメールのは、現地プロバイダーでポートミラーなどで盗聴されている。 後、自宅からのメール送付も禁止。

2015-06-01 19:55:19
Lyiase @lyiase

@tomo_091519 @Polaris_sky いや表示を誤魔化してるんじゃなくて、リアルに送信先が取引先になってるケースもある。 メールの仕組み上、こんなのは簡単にできる。 あと日本のアドレスが日本のサーバーだけ通ってるなんて大間違いだし、別に誰でもやろうと思えば盗聴できる

2015-06-01 20:03:24
Lyiase @lyiase

.@kirikami さんの「不正アクセスで年金情報125万件が流出か」をお気に入りにしました。/ 私的には既存のウイルスまたはスクリプトなら騙されない自信がある。何故なら、プログラマなので来たスクリプトは必ず読むから。 togetter.com/li/829558

2015-06-02 09:38:04
Lyiase @lyiase

【年金機構情報流出】内規違反のずさん管理 55万件「パスワード設定せず」 itest.2ch.net/test/read.cgi/… パスワードを設定するだけの内規もどうなのさ、それ。 あと基幹システムからDVDで持ち出せるのも中々斬新だな。 基幹システムの使い勝手に難がありそうでもある。

2015-06-02 09:23:03
Lyiase @lyiase

標的型メールは今まで何度か受け取ったことがあるからな。 今走ってるプログラムを把握する癖もexeファイルはまずアーカイバに掛けてみる癖もあるし、不審ならバイナリエディタでもデバッカでも何でも掛ける。 常にファイルが何か把握するよう努めてるからな。 8割程度は騙されない自信がある

2015-06-02 09:44:53
Lyiase @lyiase

場合によっては確かにセキュリティの専門家でも防げないなー。ただ、標的型攻撃の8割はまあ不審な点があるので防げる。2割は厳しいな。まあ、この8割は疲れてると減るんだけどw

2015-06-02 12:56:54
Lyiase @lyiase

この要件だけなら感染しないんだけどなあ、仕事で無いなら。 実行可能なファイルをプライベートではやり取りしないからね。 疑わしいと言うか、そう言う実行可能な形であれば、実行されない形で中身見るし。 仕事だとそれが出来ない&平気でそう言う実行可能なファイルをやり取りするからな。

2015-06-02 13:01:36
まとめ 年金機構の情報流出はなぜサイバー攻撃なのか… 年金機構の情報流出の件、どうにもメールを開いた担当者を責める方が多いので そういう問題では無いという私と私より分かりやすいcocoonPさんのつぶやきをまとめました。 (補足)ファイル管理の件に関しては別のまとめにまとめましたのでそちらを見ていただけると幸いです。 25578 pv 253 19 users 62
松本 泰 @yas_matsu

サイバーセキュリティ対策推進会議(CISO等連絡会議) 2015/6/1 nisc.go.jp/conference/cs/… 日本年金機構の個人情報流出について nisc.go.jp/conference/cs/… はやー。

2015-06-01 19:33:31
残りを読む(157)

コメント

にゃあ @kirikami 2015年6月2日
まとめを更新しました。資料追加しました。
0
にゃあ @kirikami 2015年6月2日
まとめを更新しました。資料追加しました。
0
にゃあ @kirikami 2015年6月2日
まとめを更新しました。
0
taka @Vietnum 2015年6月2日
いくらセキュリティ対策しても、結局、あほな職員がいるかぎり漏出はなくならない。また、もんじゅの事故のように何人ヘマしようが、まともに責任とる輩がいないせいで、現場の緩い空気とアホ職員の存在はなくならない。
1
(´・ω・`) @buta_pork 2015年6月2日
で、誰も責任取らないんでしょ?
7
Sea_Doberman @Sea_Doberman 2015年6月2日
日本人はほんとに騙されやすいな。また、【大本営発表】を信じている。大昔のウイルスが存在しなかった古代日本と違って、今は、メールサーバーでも、端末でも、添付ファイルのスキャンをやっています。出て行く情報もファイアーウォールで制御しています。つ・ま・り、完全にセキュリティーを破られています。ハックされたと発表したら、また、大バッシングが始まるから個人の問題にすり替えているだけです。
4
Sea_Doberman @Sea_Doberman 2015年6月2日
そもそもWindows、Word, Excelの組み合わせは、「ウイルス、ハッキングのカモにしてください」と言ってるようなもんでしょ。個人のお遊び的要素が不要の「お役所仕事」に、Windowsは必要ない。Winodws一辺倒にしてウイルス蔓延させて、セキュリティー関連でまた外資に貢いでいる日本人は、外資とそれに動かされている利権のカモにされていることに早く気づいたほうがいいよ。
3
ざの人 @zairo21 2015年6月2日
まだ わし ねんきんネット申し込んでいないから メールによる実害はないけど 既に出している人は 狙われるわけか。
0
Sea_Doberman @Sea_Doberman 2015年6月2日
中国はWindowsを禁止したし、かつて、日本の経済が絶好調だった時代、国産OSで、アメリカ支配を打ち破ろうとしたことがあった。Tron一択にしたおバカ戦略もあって、あっさり、アメリカに敗北して、その後はアメリカにお金を献上するだけの奴隷生活。
2
Heyw65kZ4RiU @29zgJQepexzZ 2015年6月2日
責任をとるって、つまり「首括れ」ッてこと? なら、多分誰も責任はとらないし、誰も責任をとろうすら思わないんじゃないかな。鴨川の河原に晒し首されるわけやしな
1
Heyw65kZ4RiU @29zgJQepexzZ 2015年6月2日
で、鴨川の河原に責任者の首晒したら盗まれた情報がきれいさっぱり元通りになるんですかね
6
久我まさゆめ @k_masayume 2015年6月2日
http://www.nenkin.go.jp/n/www/faq/detail.jsp?id=6181&faq_genre=142 「万全を期しています」って言っちゃってこの不始末はないわ……。ヒューマンエラー前提にシステムを構築してないとまた同じ事が起きるので、また金掛けて直さなくちゃならない。こんな杜撰な取り扱いしかできんのなら会社ごと吹っ飛ぶレベルのミス
1
初瀬 神楽 @Kagura_d34272 2015年6月2日
Windowsは必要ないと言い張るなら、まず代替案を出したほうがええと思うけど。使用者が少ないOSほど教えられる人材が少ない分、教育コストが上がる点も踏まえて、何使えというん?
1
にゃあ @kirikami 2015年6月2日
まとめを更新しました。
0
たちがみ @tachigamiSama 2015年6月2日
こういう情報をネットに接続できる環境に置いとくのが信じがたいというか馬鹿過ぎる スタンドアロンにしてなかったのかよ
4
にゃあ @kirikami 2015年6月2日
まとめを更新しました。
0
Lyiase @lyiase 2015年6月2日
tachigamiSama いやぶっちゃけスタンドアロンにしても盗もうと思えば盗めますけどね。そう言うスタンドアロンなPCは往々にしてセキュリティが低いですから、そのPCのセキュリティレベルを維持出来ないのであればむしろやらない方が良い。安心感はより重大なセキュリティインシデントを生みますから。
3
mikan @anonymikan 2015年6月2日
「Windowsは危険」って一昔前にあった「Macならウイスル対策は大丈夫」みたいなCMを思い出すなあ。
1
にゃあ @kirikami 2015年6月2日
まとめを更新しました。
0
ナスカ(Nazka-U) @Chiether 2015年6月2日
(windows不要というコメを見て)そもそもC銀行は、勘定系からしてWindowsなんだがな……。
0
ゴイスー @goisup 2015年6月2日
初期対応のおかしさがなぁ。最初に情報抜かれたのすぐ気付いたのに、なんで外部と接続しっぱなしだったのか。別の職員が同じことすぐやらかして被害広がった。
4
にゃあ @kirikami 2015年6月2日
まとめを更新しました。
0
にゃあ @kirikami 2015年6月3日
まとめを更新しました。
0
にゃあ @kirikami 2015年6月3日
まとめを更新しました。
0
にゃあ @kirikami 2015年6月3日
まとめを更新しました。
0