知って得するセキュリティのはなし その114
富士通提供の情報共有ツールに不正アクセス…成田空港・省庁等情報流出相次ぐ
1.このニュースをざっくり言うと
- 5月20日、成田国際空港(NAA)より、同空港の運航情報管理システムに関する情報が、当該システムで利用していた富士通製プロジェクト情報管理ツール「ProjectWEB」への不正アクセスにより、流出したと発表されました。
- 同25日には、富士通より、不正アクセスに関する正式発表があり、原因を調査するとともに、ProjectWEBの運用を停止しているとのことです。
- また同26日には、同じくProjectWEBを利用していた、内閣官房内閣サイバーセキュリティセンター(NISC)、国土交通省および外務省からも情報流出が相次いで発表されており、国交省については省内外の関係者のメールアドレス約76,000件分が流出、外務省についても一部報道によれば省外63人分の個人情報が流出したとされ、NISCでは「政府機関等、重要インフラ事業者等それぞれに向けて、同種ツールに対する不正アクセス対策の確認について注意喚起」を行ったとしています。
2.執筆者からの所感等
- 複数のユーザーに提供されるクラウド型サービスにおいてこのような不正アクセスの同時多発が発生するケースとしては、他にも適切に管理されていない多数のユーザーアカウントが狙われるケース等も起こり得ますので、一般論とはなりますが、ユーザーアカウントに対し外部から容易にパスワードを推測されたりして不正ログインされることのないよう、複雑なパスワードの設定等厳密な管理を行うことは、ユーザー側・サービス提供者側の区別なく重要と言えます。
- 一部報道によれば、不正アクセスによってProjectWEBの管理者権限を持ったアカウントが侵害された可能性があると富士通から省庁に報告されたとのことですが、このような管理者アカウントの奪取をも見越し、それが直ちにシステム全体へのデータアクセスに繋がることのないようなシステムの構築もまた課題となるでしょう。
