インターネットで大規模障害、DDoS攻撃か？：セキュリティクラスタ まとめのまとめ 2017年8月版（3/3 ページ）

8月のセキュリティクラスタは毎年恒例となっている「セキュリティ・キャンプ」の話題が大盛り上がりでした。この他、大きな動きが2つ。1つ目はいろいろなWebサイトでSQLのダンプファイルが公開されており、企業サイトで情報漏えいが発生したこと。2つ目は大規模な接続障害が発生したことです。一時はDDoS攻撃かもしれないと疑われました。

[山本洋介山（エヌ・ティ・ティ・コミュニケーションズ），＠IT]

誤って公開されたデータベースのダンプファイルから情報漏えい

　「インターネット上に公開されてしまったデータベースのダンプファイル」という文書を、JPCERT/CCが8月8日に公開しました。

　データベースのバックアップを取ったファイルが、誰でもアクセスできる公開ディレクトリに置かれており、名前を決め打ちすることで盗まれることに注意しようという内容です。そんな間抜けなことが起こっていることに、驚きあきれる感想が多く寄せられました。

　そんな中、8月22日には旅行会社のエイチ・アイ・エス（HIS）から発表がありました。国内バスツアーの予約サイトへの外部からのアクセスにより、最大1万1975人分の個人情報が流出したということです。JPCERT/CCの文書との関連を感じたツイートもありました。

　インシデントを発見したのがエイチ・アイ・エスの契約していた外部セキュリティ専門家だったこと、これに驚いているツイートや外部サイトに本件サイトに関する記述があったということなど、流出を報告したPDFの内容に驚いているツイートもありました。報告書の内容を細かく読み込むことで新しい事例が発見できるのかもしれません。

　この他の企業からも情報の流出がありました。8月30日には浜松のネット通販システム会社「ジェネシス社」から1万件以上のセキュリティコードを含んだクレジットカード情報が流出したという報告がありました。手段は不明ですが、既にカード情報が悪用されているようです。

---

　この他にも8月のセキュリティクラスタは以下のような話題で盛り上がっていました。9月にはどのようなことが起きるのでしょうね。

• NHKの「クローズアップ現代」でWannaCryが取り上げられる
• WannaCryのキルスイッチを見つけた人がバンキングマルウェアに関わっていたとして逮捕
• DEFCONで講演した件で解雇！？
• オープンソースソフトウェアはセキュリティに不安がある！？
• バックドアが埋め込まれた怪しいネットワークカメラ
• プレイステーション公式TwitterとFacebookアカウントが乗っ取られて、偽の投稿を行う
• フィッシングサイトでIDを盗んで拘置された高校2年生釈放される
• 岡山の高校3年生ウイルス作成で書類送検される

著者プロフィール

山本洋介山（NTTコミュニケーションズ株式会社）

Webサイトの脆弱性を探す仕事の傍ら「twitterセキュリティネタまとめ」というブログを日々更新しているTwitterウォッチャー。たまにバグバウンティもしています。