伊藤亜津佐セキュリティーJTBで最大793万人の個人情報が流出したようです。旅行を予約する場合、住所や電話以外にパスポート番号などを入力しないと、予約できないシステムになっているので、もっとしっかり顧客情報を管理してよって思いますけどね。JTBは情報リテラシー低すぎますよね。JTBでは特設ページを開設して謝罪しています。気になる方はフリーダイヤルに電話すれば、自分の情報が流出したかどうか教えてくれますよ。※なお、8パスポート番号、9パスポート取得日のうち、現在も有効なものは約4,300件になります。「JTBホームページ」「るるぶトラベル」「JAPANiCAN」のオンラインでご予約されたお客様、またはJTBグループ内外のオンライン販売提携先(提携サイト)でJTB商品をご予約されたお客様の情報となります。過去にどんな事例があったの?なぜ個人情報が流出したのか?JTBの個人情報の流出に対する危機意識が低かったからです。日本最大の旅行会社なのに、顧客情報が抜かれるリスクがあることを全然理解してないんだもん。それは以下のやり取りを見れば明らかです。「なんの不信感もなかった」とか言ってる時点でダメ。「i.JTB」のオペレーターが開いたメールには、ウイルスが仕組まれていた。「なんの不信感もなかった。(IT企画担当)は、メールの内容についてこう説明した。メールアドレスは、「ごくごく普通のありがちな日本人の苗字@実在する国内航空会社のドメイン」だった。メールに本文はなく、PDFファイルが添付されていた。「北京行きのEチケット」。本物の可能性もある精巧なものだった。ウイルスが仕組まれているとは気づかず、オペレーターはこのファイルを開いた。書かれていた乗客の名前をシステムで検索しても、該当する名前は見つからない。そのままこのオペレーターは、メールの送り主に「該当はありません」と返信までしていたという。ウイルスメールだとは、最後まで気づかなかった。返信後、すぐにエラーメールが戻ってきた。その時点でオペレーターは、異変に気付くことができなかった。数日後、サーバー内部から海外への不正な通信が見つかった。原因として疑われたのが、このメールだった。アドレスは間違いなく、実在する航空会社のもの。事案の発覚後、メールの詳細が記されている「ヘッダー」を確認すると、実際はレンタルサーバーから送られてきたものとわかった。アドレスは、偽造されていた。この説明を読むと、日本の大企業のセキュリティーの低さに驚くんだけど、これが日本の大企業のセキュリティーに対する実態です。情報リテラシー低すぎです。ウィルスを仕込む側に立てば、国内航空会社のドメインを偽装しますよね。添付ファイルを開いてくれる可能性が高くなりますから。それくらい誰でも分かることなので、社内のシステムのセキュリティーレベルを上げるとか、社員のリテラシーを教育するとか、抜本的な対策打をお願いします。ハッカーを雇ってもいいんじゃないかな。eチケットの添付はやめるべしeチケットをPDFで添付する航空会社なんて今どきあるのでしょうか?国内大手2社のJALとANAのeチケットの発行方法を調べました。オンラインで航空券を購入した場合、以下の2通りのどちらかです。購入時の画面に出てくるQRコードを印刷するメールアドレスにQRコードへアクセスできるURLが入ったリンクが送られてくる予約センターに電話した時に、「eチケットをPDFで添付しないんですか?」と聞いたら、そういうシステムにはなっていませんと言ってました。eチケットは航空会社によって、メール本文を印刷したり、メール本文にあるURLからQRコードを取得したりということになっています。わたくしの実体験ですが、あくまで個人と航空会社の間でeチケットを発行する際は、QRコードってところが多いと思います。ちなみにユナイテッド航空のマイレージを使って旅行をする場合、メール本文をプリントアウトするような仕組みになっています。PDFの添付ではありません。旅行会社と航空会社のやり取りの場合、もしかしたらPDFでeチケットを発行というのもあるのかもしれません。いう事件は今後もあるだろうから、まだPDFでeチケットを添付をしている航空会社があったら、早くやめた方がいいです。JTBの対応は遅かった現場担当者が、PDF添付のeチケットを開封してしまうのは、ある程度しょうがないと思うんですよね。人間だからミスもあるしね。事後のJTBの対応が遅いのが問題です。3月15日に標的型のウイルスが仕込まれていて、数日後には、サーバーから海外への不審な通信を確認したにも関わらず、警視庁へ相談したのが5月末って遅すぎませんか?標的型攻撃メールへの対策JTBだけでなく、顧客の個人情報を扱っている会社は、個人情報の流出するリスクと常に隣り合わせです。海外のハッキング集団から見ると、個人情報を持ってる企業は宝の山ですからね。あの手この手で、個人情報を扱っているサーバーへの攻撃を仕掛けてきます。どんな攻撃があるのかというと、標的型攻撃メール。あとは、持ち出し型と呼ばれる内部の人間に個人情報を持ちださせるもの。どちらが多いかというと、圧倒的に標的型攻撃メールが多いです。業務になりすまして、添付ファイルを開かせてウィルスに感染させるという手法に引っかかるのは、初心者だけなんだけどね。巧妙にやる方法いくらでもありますもん。標的型攻撃メールはどんどん巧妙化しています。以下、3つのケースで見分け方を見ていきましょう。メール送信者を偽装するケース最近はフリーメールアドレスではなく、メール送信者は取引先などを偽装してくるので、送信者のドメインだけで信用してはダメ。添付ファイルがあるケース仕事関係を装ったPDFの添付ファイルにウィルスが仕込まれるので、気をつけます。いくらなんでも、実行形式ファイル(exe、scr)をクリックする人はいないよね。添付ファイルからウィルスに感染することで、以下の被害が起きます。感染したPCを通じて、組織のネットワーク内の情報を外部に送信する外部への送信ポートを勝手に開く感染したPCが踏み台となって、組織のネットワークやシステムの基幹部分を操作する踏み台になる今回のJTBのケースは、一番上の「感染したPCを通じて、組織のネットワーク内の情報を外部に送信する」が該当します。過去にどんな事例があったの?ニュースにならないだけで、いろんな企業で個人情報が流出してるはず。役所だとすぐにニュースになるけどね。日本の役所はネットリテラシーが低いので、海外から狙われています。日本年金機構で約125万件の「個人情報」が漏えいしてるし、省庁は片っ端からやられています。流出する日本の機密情報!サイバー攻撃から身を守る最近、官庁や企業を狙ったサイバー攻撃が急増しています。一応、内閣サイバーセキュリティーセンターという組織が政府にありますが、機能しているのか謎。流出する前提で考えるべしHISで1万人を超える個人情報が流出しました。流出原因は、このサイトをリニューアルした際、旧サイトの申し込み済み顧客の予約データを誤って公開領域に保存していたことだという。メモのパスワードロックは微妙。iSchool合同会社.メニューホーム会社情報サービスナレッジブログお問い合わせお問い合わせサイドバ。