内閣府のFileZenへの不正アクセスについてまとめてみた - piyolog

2021年4月22日、内閣府は外部とのファイルのやり取りで職員が利用するファイル共有サーバー（FileZen）が外部から不正アクセスを受けたと発表を行いました。ここでは関連する情報をまとめます。 内閣府の外部とのファイル共有に不正アクセス 内閣府職員等が利用する「ファイル共有ストレージ」に対する不正アクセスについて 不正アクセスを受けたのは内閣府、内閣官房、個人情報保護委員会、復興庁の4組織の職員等が利用する内閣府LAN内に設置されたサーバー。 サーバーは外部とのファイル共有用途で設置されたソリトンシステムズの「FileZen」 内閣府はメール送信先誤りや記録媒体紛失の発生時に情報流出を防止する目的で利用していた。 イベント参加者情報流出の可能性 流出の可能性があるのはサーバー上に保管されていた231名分の氏名、所属、連絡先等を含む個人情報。内閣府が関わったイベント申込者等の情報。*1 実

[onigoy]

よくわからんが、やたらとセキュリティだなんだと難癖をつけてOSSどころかMS純正の製品の導入さえ否定するくせに、外部とのファイル共有とかそもそも社内でもやたらにファイル共有を利用したがるのが理解できない。

[ene0kcal]

簡潔に、しかも知りたい詳細な情報で有難うございます。／「内閣府、富士通は不正アクセスの実行元を特定する調査は行わない方針。」←表向きのアナウンスであって欲しい。裏では調査、または別組織がやるべきかな。

[ot2sy39]

FileZenはディレクトリトラバーサル脆弱性がでた時点で使用中止すべきだったと思う。ファイル共有アプライアンスでディレクトリトラバーサル脆弱性だすような製品、絶対ほかのところも抜けてるでしょ。

[csouls]

アクセスログが残ってないなら監視のしようもなく、まずはログを取って監視する仕組みから整える必要がありそう

[daishi_n]

まあ、S3でもちゃんと管理してないと死ぬけどな

[y-mat2006]

アクセスログが消されたか改竄されたのか？サイクリックの周期が不十分で残ってなかったのか？

[diveintounlimit]

わりと基本的な脆弱性で基本って大事だねというのと、ファイルを扱うシステムなのにディレクトリトラバーサルとか出てきちゃダメでしょと思ったりした。

[rrringress]

ログがない点が痛い。調達の要件にもログは書かれてそうだが

[ntdtks]

送信データ量抑える等したたかな搾取犯に対し、委託の富士通が通信ログ無いこと＆定期監査で不正アクセスを疑えたのは不幸中の幸いか？ウチの職場なら「自分ら誤削除した？再設定しとこ」か監査自体してない。

[imiimiimi]

”内閣府LAN運用委託事業者（富士通）がFileZenの操作ログが残っていないことに気づいたことが発端”あるべきログがないので、おかしいと調査したんでないの？でなきゃログないの杜撰すぎるでしょ。

[amemiyashiro]

アナウンス等々見ている限り外部からの利用を想定してなかったのに外部公開されていたのがそもそもの発端なのでは、という思いが拭えない。

[tailtame]

メジャーな脆弱性のあるツールは大抵縦断アクセスされるのよな……山ほど404出て腹立つ。FileZenは知らないかな…どうかなー。adminが弱いのはダメだなぁ

[adsty]

ファイル共有サーバー（FileZen）が外部から不正アクセスを受けた。

[onesplat]

ディレクトリトラバーサルやOSコマンドインジェクションなんてまともに作ってたら絶対に発生しない脆弱性ですけどね。お里が知れるわ。これがIT後進国か

[a-kuma3]

安全性を謳ったソフトで、これは笑えん

[t_f_m]

"内閣府、富士通は不正アクセスの実行元を特定する調査は行わない方針" / 何故

[shikiarai]

富士通は情報漏洩の追跡なんて契約に無いだろうし何を言われても突っぱねないとな。内閣府の態度はさておき。

[Wafer]

昔の大名屋敷もセキュリティがザルだって聞いたことある

[sho]

そもそもログも残らないようなシステムを調達しちゃダメだろ……

[napsucks]

で、何が漏れたのかな

[Sakana_Sakana]

SKYSEAといい、明らかに日本を狙って脆弱性を探している何者かが間違いなく居るよな

[shag]

この手の国産ビジネスソリューション何となく信頼性あることになってるけど、多分あまり攻撃にさらされてないだけだよな。

[Galaxy42]

FileZenは大学でオンライン対応に使ってるとこもあるよな。

[n_231]

共有サーバに置くのとノートPCローカルに置くのとどちらが安全かは議論が分かれる所、というかマルウェア検知するのが先だよな

[asuka0801]

流出はともかくとしてセキュアって名前付けてる割にファイルサーバーに配置されたファイルは暗号化してないのかね。こういうの見ると変に日本製に拘らず暗号化標準搭載のGCSやS3の方が安全じゃねって思ってしまう