JxxQME

アマチュア無銭家です。小学生で半田こてを握り、中学生で開局しました。
昔はkmcの部員でした。

[うらきこう@エンジニア編集長 @UrakiKouGP03]

まあインターネット創世記時代の社長って

・技術者あがり（さくらインターネット田中社長）
・守銭奴なアホ（GMO熊谷社長）

前者は何かポカしてもエンジニア勢は擁護する。
後者は一切擁護せず顧客からもここぞとばかりクレームの嵐。

という構図が今回のGMO騒動で見えたね( ｰ`дｰ´)ｷﾘｯ

余談ではあるが、さくらインターネットも個人情報漏洩してますし、数十年前、さくらクラウド石狩でデータ消失（復旧不能）ということをしてますが、なんだかんだきっちり対応して収束。GMOの件は収束する気がしねーｗ

[上原 哲太郎/Tetsu. Uehara @tetsutalow]

インタビュー受けました。VPSの作りとしてもちょっとどうなん？って感じなところ、そもそもこういうVPSをFX取引専用という名前で貸しちゃうってさらにどうなのと。規制方面に行っちゃうんじゃないかなぁ。 / “GMO不正アクセス　「能動的サイバー防御」より先にやるべきこと…” https://t.co/YNg2vyHBHQ

[t-Kimura @t__kimura]

GMOのお名前デスクトップでVPS に接続したことのある自宅や会社の PC は、侵入されている前提で扱った方が吉です。

GMO は、2万6,739台のサーバーが影響を受けた可能性があると発表しています。

しかし、攻撃者は自分のサイトで、
次のように主張しています。

・接続用の RDP ファイルで、PC のドライブを共有する設定が最初から有効だった。

・VPS の側から利用者の PC に入り、データを抜き取って裏口を仕掛けた。

・今後、PC を暗号化し、家族や取引先にデータを送る（攻撃者の主張）。

本当なら、

「被害は VPS の 26,739台では済まない」

そこへ接続した利用者の自宅 PC にまで、データの抜き取りと裏口が入っていることになります。

攻撃者は、利用者のメールの連絡先、家族、取引先にデータを送ると予告しています。

1人あたりの連絡先が数十〜数百件あるとすると、脅しのメールや漏えいしたデータを受け取る人は、数十万〜数百万人の規模になりえます。ここからは、なりすましの詐欺も起きやすくなります。

そして、攻撃者の主張が本当かどうかが分かるまで待つ理由はありません。

・その PC から VPS へ接続しない

・銀行、証券、メールのパスワードは、その PC ではなくスマホなど別の端末から変え、二段階認証を有効にする

・大事なデータは外付けの機器に写し、写し終わったら PC から外しておく

・可能なら PC を初期化し、OS を入れ直す

[上原 哲太郎/Tetsu. Uehara @tetsutalow]

タイムズカーといいSOURCENEXTといい、10～20年前ではないかという古い基本設計のソフトウェアが使い続けられていたように見える。比較的システム更新が早いWebの世界で。インフラ系はもっと古いのが当たり前なので、脆弱性もどこに地雷があるかわからんし、2038年問題も対応できているか不明だよね…

[上原 哲太郎/Tetsu. Uehara @tetsutalow]

無断再委託はあきません。
いわんやそれによる情報漏えいをや。
https://t.co/PrFS4CusJI

[上原 哲太郎/Tetsu. Uehara @tetsutalow]

PHP2Shellについての報告。確かにメモリ破壊系の脆弱性は厄介で、こんな複雑なのを発見でき攻撃できちゃうのはAI時代ならでは。でも逆に、開発に適切にAIを使えば堅牢にできるはずという希望も見える。 / “PHP2Shell: AI uncovers critical RCE vulnerabilities affecting …” https://t.co/s9RxiboZDH

[上原 哲太郎/Tetsu. Uehara @tetsutalow]

AIは脆弱性の存在を教えてくれるが、修正する側は「なぜそのコードがそうなっているのか」を踏まえた修正をする必要がある。その意思決定にかかる情報を持たないAIは適切な修正ができるとは限らない。大変だなぁ… / “Today's PHP Security Release, and How We're Strengt…” https://t.co/1UbuTzJ8kG

[上原 哲太郎/Tetsu. Uehara @tetsutalow]

パスワードリスト攻撃の嵐が吹いてる。最初にパスワード使い回しがやられるんですよ。取材で「なりすましの可能性は」って言われるたびに「何よりパスワードを使い回すなと書いて！」って言い続けてる。速度勝負。 / “日本郵政「ゆうID」不正ログイン、他社で流出したパス…” https://t.co/KeskGcYUJd

[JxxQME @jcc1001qme]

@konoe_akitoshi インフルエンザじゃないかな？

[JxxQME @jcc1001qme]

この事件をきっかけに政府がクラウドのサイバーセキュリティ対策に本格的に取り組んで監督指導する事になれば上原先生ほ大忙しになります
@tetsutalow

[JxxQME @jcc1001qme]

@tetsutalow 会社法で要求されるリスク管理の中にサイバー攻撃の項目を盛り込めば取締役は責任を負うのでお金も付けて貰える

[JxxQME @jcc1001qme]

@tetsutalow 経営者のリスク管理能力ですね～

[JxxQME @jcc1001qme]

@tetsutalow そうですね…
厳しい価格競争の中で経営者がどう判断するかが大切
信頼性は金で買うしか無い

[上原 哲太郎/Tetsu. Uehara @tetsutalow]

JPCERT/CCからも情報が出た。攻撃元IPは古いので参考程度だけど過去のアクセスログ解析に使えるだろう。こちらは原因の詳細に踏み込んでる。アプリ解析でエンドポイントとAPI Keyを抜き取り攻撃したと思しき例は多いよね… / “直近で相次いでいる国内組織における不正アク…” https://t.co/gwgxfISVV4

[JxxQME @jcc1001qme]

@tetsutalow 競争入札にするとどうしても
安いだけの企業が落札しますね…されがネック…

[JxxQME @jcc1001qme]

２０年以上続けていた新聞の講読を９月いっぱいで止めた
４４００円月は高すぎる…物価高と言う前に率先して値下げして欲しい

[上原 哲太郎/Tetsu. Uehara @tetsutalow]

ただし銀行・証券・消費者金融などに限られます（犯収法に基づく）。携帯電話の契約では先行して画像送信型は禁止されました。でも他の業界では画像送る方式の本人確認・資格確認が残りそうな気がしますね。それぞれ業界団体で自主規制していただくか監督官庁からの指導通達などで是正して欲しいです。

[上原 哲太郎/Tetsu. Uehara @tetsutalow]

情報漏洩事故多発で、被害に遭った人たちから各社に怒りの矛先が向いていますが、攻撃はこのところ急速に激化しているので、むしろ今事故を発表したところは自分のところのシステムが比較的管理出来てる優秀なところではと思います。この状況下で漏洩に気づいてない企業が結構あるのではと恐れてます。