2/2 外部からデータが丸見えになっていませんか [企業のIT活用] All About

ちゃんと対策しないと攻撃の踏み台にされる

ちょんと対策し踏み台にされないように

SHODANという検索エンジンがあります。Googleなどの検索エンジンと異なり検索対象がインターネットに接続している様々なコンピュータになっています。ファイルサーバ、FTPサーバ、メールサーバ、ルータ、スイッチ、プリンターなど様々な機器を検索できます。

SHODANで「printer」と検索すると「Anonymous login successful」という情報が出てくるプリンターがあります。Anonymousというのは匿名のことで、ダウンロードサイトなどで使われるアカウントです。

不特定多数の人にダウンロードさせるのはいちいちアカウントを発行していては大変です。そこでアカウント名にAnonymousと入力することにより誰でも利用できるようにしています。ダウンロードサイトであれば分かりますが「printer」で「Anonymous login successful」というのは複合機を導入し、そのまま適切なセキュリティ設定していないということでしょう。

また複合機を導入するとデフォルトパスワードが設定されていますが、こちらも変更しておかないと該当機種のマニュアルをインターネットで検索すれば容易にデフォルトパスワードが分かります。デフォルトパスワードは複合機1台ごとに変えて、例えば固体番号にするなどの工夫が必要です。SHODANで「default password」で検索すると、驚くほどたくさんの機器が見つかります。

ラスベガスで開催されたハッカーの祭典「デフコン」ではトヨタのプリウスをハッキングして自由自在に操る実験が紹介されました。今や車まで操られる時代です、複合機のセキュリティ設定をしっかり行いましょう。自社がやられるならまだしも乗っ取られて攻撃の踏み台にされることもありますのでご注意を。

情報共有サービスの情報漏えいに注意

情報共有に便利なサービスが次々に登場しています。そんななか中央官庁で発生したのがGoogleグループによる情報漏えい。Googleグループの初期設定は全面公開になっており、そのまま使っていました。環境省からは2013年1月にジュネーブで開催された水銀条約の制定に向けた交渉状況や日本国内の対応状況などがネット上に流出。ほかにも農林水産省、国土交通省、厚生労働省から情報漏えしました。

Googleグループを活用するとインターネット上でメール、カレンダー、ドキュメントの共有ができ無料で使えます。Googleグループのデフォルトの設定は全面公開になっていますが、気づかずにデフォルトのまま使ってしまったことが原因。Googleグループの設定は初心者にとって分かりずらく複雑という背景もありました。

会社でも同様にGoogleグループ、Dropbox、Facebookなどを情報共有ツールとしてプロジェクトや課などで活用していますが、ひょっとすると設定が必要だと思わずに使っているケースが多々あります。

会社としては使ってもよい情報共有ルールを指定し、セキュリティの設定のやり方をガイドラインで示し、遵守させるようにしましょう。実際、Googleグループをデフォルト設定のままに使っている会社も多く、ID一覧や社外秘文章、予算書などが外部から閲覧できるようになっています。