情報漏えいPRJ活動日誌コラムプロに聞く調査レポートニュースお問い合せトップページニュースメール誤送信による情報漏えい事故が発生・・!9月のマンスリーセキュリティレポートニュース【vol.14】2016.10.27メール誤送信による情報漏えい事故が発生・・!9月のマンスリーセキュリティレポートFacebookツイートサイバー犯罪者は常にターゲットを探しており、攻撃の手法や技術も進化させています。そのため、強力なセキュリティ対策を構築していても、100%の防御は難しいのです。マンスリーセキュリティレポートでは、特徴的な情報漏えい事件やセキュリティ侵害事件、業界の話題などをピックアップし、考察していきます。・どうすれば漏えい事件を防げたのか・2016年9月のトピック2016年9月の情報漏えい事件2016年9月も、いくつかの情報漏えい事件が発生しました。今回はその中から、2つの事件を取り上げます。9月2日、内閣官房において国土強靱化推進室の担当者が外部へメールを送付した際、メールアドレスが流出する事故が発生したと発表しました。概要」の資料配付について周知を図る目的で、災害報道関係者39名にメールを送信する際にミスが発生したというものです。本来、送付先のメールアドレスを「BCC」に設定すべきところを「TO」に設定したまま送付したため、メールの受信者が他の受信者のメールアドレスが見える状態になっていました。担当者はその後メール送信ミスに気づき、同日20時頃、39名全員に対して誤って送信したメールの削除を依頼しました。同室では、メール誤送信防止機能およびその運用について職員に改めて周知徹底を図るとともに、必要に応じて外部への複数の受信者宛のメールの際には、複数の職員によるチェックを経て行うとしています。メール商人サーバ(EMZサーバ)に対し、第三者による不正アクセスがあり、そこから一部の顧客のクレジットカード情報が流出する事件が発生しました。これは2016年3月初旬、同社の顧客のカード情報に漏えいの懸念があるとカード会社より連絡があり、同社は第三者調査機関に調査を依頼、その結果、同社のサーバでなくEMZサーバからのクレジットカード情報漏えいの可能性があると判明しました。同社では、同社のWebサイトで購入申し込みを行うと、自動的にEMZサーバのカートシステムに移行するようにしていました。調査の結果、2010年12月7日から2016年3月3日までの間に同社の商品をクレジットカードで購入した顧客、最大705件のクレジットカード情報が漏えいした可能性がありました。メールアドレス」であるとしています。同社では現在も、クレジットカードの使用を停止しています。内閣官房の事件は、「メール誤送信」に該当するものです。メールの送信先には「TO」のほかに「CC」「BCC」を設定できます。これらは複数の相手にメールを送信する場合の設定ですが、「CC」に設定すると受信したメールにすべての受信者が表示されてしまいます。これを非表示にするものが「BCC」です。ネットワークセキュリティ協会(JNSA)による調査でも、2015年に発生した情報漏えい事件の原因うち約25%が「誤操作」、漏えい媒体・経路の約12%が「メール」となっています。)ユメオカの事件では、サーバからクレジットカード情報が漏えいしたことでなく、委託先で情報漏えいが発生したことにフォーカスしたいと思います。さまざまな業務を外部委託するケースは多いと思いますが、たとえ委託先で発生した事故であっても、ニュースなどで表面に出るのはほとんどの場合、委託元の社名です。委託先を選ぶことも自社のリスクにつながる例といえます。すれば漏えい事件を防げたのか複数の宛先にメールを送信する際には、「CC」と「BCC」を使い分ける必要があります。受信者にほかの受信者の情報を表示させたくない場合には、宛先(TO)を自分に設定し、ほかの受信者をすべて「BCC」に設定します。多くのメールソフトは見た目で区別しにくく、設定ミスが発生しやすくなっています。メール誤送信を防ぐためには、送信前に「CC」「BCC」の設定を見直すことが一番ですが、それが難しいことは調査結果が示しています。何らかのシステム的な対策が必要でしょう。送信ボタンを押してもすぐには送信されず、一定時間が経過してから再度確認して送信するシステムや、メールを上長経由として上長の承認がないと送信されないシステム、あらかじめ設定した項目に該当する場合にアラートを発するシステムなどがあります。「CC」に大量の宛先が設定された場合にアラートが表示されるようなシステムであれば、かなりの確率でメールの誤送信を防ぐことができます。システムを導入していても使われなければ意味がありません。内閣官房の漏えい事件では「メール誤送信防止機能およびその運用について職員に改めて周知徹底を図る」とありますので、対策は導入されていたと思われます。対策機能の周知徹底も重要な要素といえます。業務の委託については、マイナンバー制度で「委託先は委託元と同程度のセキュリティ対策を行うべき」とされています。この項目は、個人情報保護法の改正により統合されます。企業が保持する個人情報の件数の下限が撤廃されます。すべての企業に個人情報保護法が適用され、違反すると厳しい罰則があります。委託先の選定には十分な調査が必要といえるでしょう。7」シリーズが発売されました。手にしている方も多くいらっしゃるでしょう。最新のテクノロジーを手にする喜びは大きいですが、同時にリスクもあります。新型のIT機器は初期不良があったり、発売に間に合わせるために検証が不十分である可能性が高くなっています。10」が搭載されています。9」のユーザーから、インストールがうまくいかなかったり、バックアップデータが消えるといった不具合が報告されました。10.0.1」を公開しています。これは不具合の解消のほか、カーネルメモリ漏えいの脆弱性が確認されたためです。10.0.2」が公開されています。ここでは、写真アプリやイヤホンのリモコン操作などの不具合に対応しています。新バージョンは、安定するまでに一定の期間が必要なのです。iPhoneのように人気の高いデバイスは、新製品の登場前にはフィッシング詐欺の標的になり、登場後は脆弱性を狙われることになります。新しいハードウェア、あるいはメジャーバージョンアップの後には脆弱性が存在する可能性が高いので、バージョンアップ情報を意識するようにしましょう。自動車整備士として整備工場やガソリンスタンドで長らく働いた後、IT系フリーランスライターとして独立。ここ15年ほどは情報セキュリティ関連を中心に執筆活動を行っている。パソコンやハード、ソフト、周辺機器、スマホ、アプリ、サービスなどIT系全般はもちろん、自動車など他業界にも対応。こんな記事もオススメです。世界がリオ・オリンピックに注目した夏!8月のマンスリーセキュリティレポートサイバー犯罪者は常にターゲットを探しており、攻撃の手法や技術も進化させています。そのため、強力なセキュリティ対策を構築していても、100%の防御は難しいのです。「マイナンバー制度に関する“チェック漏れ要注意リスク5選”」vol.09りそな銀行から芸能人の個人情報が流出!軽はずみな行動で情報漏えい“加害者”に。vol.08ウソのようなホントの話。使われているパスワードは「123456」vol.07楽天、LINE、Amazon利用者は要注意!パスワードの使いまわししていませんか?vol.06LINEのセキュリティ脆弱性でトーク・写真などのデータが抜き取られる可能性あり!vol.05気軽に登録したサイトから漏えいした2000件のパスワード!“パス漏れ”事件の犯人が逮捕!!vol.042013年の情報漏えいインシデント件数は減少。