カドカワ公表の情報漏洩の原因に衝撃走る「権限ある社員なら誰でも起こせる」

ドワンゴが所在する歌舞伎座タワー（「Wikipedia」より／Tak1701d） ハッカー集団からマルウェアを含むサイバー攻撃を受け情報漏洩が起き、一部サイトやサービスが停止していたKADOKAWA。今月5日には「ニコニコ動画」が再開するなど徐々に正常化に向かいつつあるが、同日には「ニコニコ動画」を運営する子会社のドワンゴがプレスリリースを発表し、情報漏洩の原因や範囲を説明。窃取されたアカウント情報によって社内ネットワークに侵入されたことが原因だと推測したが、悪意を持った社員などがアカウントを使ってシステムにアクセスすることによって情報漏洩やサービスダウンを起こせる可能性が改めて認識され、「逆に恐ろしい」「アクセス権限を持つ社員なら誰でも起こせる」といった声もあがり一部で衝撃が走っている。 KADOKAWAのシステムで障害が発生したのは6月上旬のことだった。動画共有サービス「ニコニコ動画」

[cnln]

家の鍵を持ってる人ならば誰でも泥棒になれる

[kaorun]

大上段な「アクセス権限を持つ社員なら誰でも起こせる」に当惑するブコメ群

[makou]

鶴見教育工学研究所は「個人で「研究所」と名乗っているだけの自営業です。法人ではありません。」 https://github.com/tetlabo

[nanana_nine]

最終的に角川が怖いのはランサムウェアにカネを払う企業だということだ、犯罪者に利益供与する組織だったことについて内省がなくニコニコが好きな人もサイバーセキュリティの専門家も盗っ人に追い銭を肯定してる

[homarara]

まあ大きな会社なら、社内に一定数の悪意のあるメンバーが混ざる事は避けられないという前提に立ってシステム構築するべきではある。担当業務の範疇を超えてシステム全体を破壊できるようでは設計か運用が悪い。

[uunfo]

当たり前かと。機微情報へのアクセス権は必要最低限にするものでは→「アクセス権限を持つ社員なら誰でも起こせる」

[juejue]

ごく当たり前の事じゃね？ “「アクセス権限を持つ社員なら誰でも起こせる」”

[hiro7373]

ゼロトラストじゃなくてVPNの中なら安全、みたいにしてたのが原因な気がする

[nakamura-kenichi]

だからロールをちゃんと管理せえっていうても面倒なんか管理がルーズやからそうなる。

[puruhime]

タイトルにインパクトがあるだけ。中身は至って普通の対策、クラッカーへの国際的な対応手順と実情のお話

[nisisinjuku]

入れるサーバを分けろ。ってことね。ワイルドカードがワイルド杉。ってのがクラッカー側の主張だったかなと記憶。

[tpircs]

危険なのでアクセス権限を持つ人にもシステムをいじれないようにしましょう

[hecaton55]

セキュリティでよく聞くお話だった

[leiopathes]

KADOKAWAのプライベートクラウドもドワンゴの情シスも実体はKADOKAWA CONNECTEDという別会社だから、そこに強い権限を持たせすぎてリスク管理出来ていなかったというのはあるだろうな。

[atsushieno]

素人が見たら「社員がアクセス権限を持っているのは当たり前で、当たり前のことを問題視している記事なんだ〜」と思われるブコメ群になっていて、全体として良くない。アクセス自体が相当制約されるべき。

[ebibibi]

“社内システムの深いところまでアクセスできる権限を持つエンジニアが、コマンド一つでサーバをダウンさせるといったことは理論上は可能といえます” 管理者がなんでもできるのは当たり前…

[evergreeen]

この手の報道になると、「アクセス権の管理が緩い」という一般論が出てくるけど、管理が適切でも誰か1人がやらかせば被害は出るわけで、完全に防ぐのは不可能では。

[korilog]

社内の書類はともかく、あれだけの個人情報にアクセスできるの、普通の会社だとできて社内ITの一部じゃないの？逆にそれだけ権限持ってる人がフィッシングに引っかかるとも思えないけど。

[satorhyum]

悪質性の高い管理体制により情報漏洩を引き起こした企業に対する刑事告訴を検討されてる方はいらっしゃらないのだろうか。

[dollarss]

「中身空っぽの記事なら誰でも書ける」というレベルの内容だ読んで損した。

[pixmap]

でも、本番環境にログインしたら、権限持ってる全員に通知が飛ぶくらいはしたほうがいいと思う。定型の作業はCD/CI経由でなされると思うので。

[kobito19]

"家の鍵を持ってる人ならば誰でも泥棒になれる" だから誰に鍵を渡すか慎重になれって言うとるんやんけ

[napsucks]

ちょっと嫌なのがドワンゴの漏洩情報にクラウドストライクの契約ぽいのも入ってるんだよな。もし仮にドワンゴで広く使われてたとしたらあのソフトもしかして役に立たないのか？

[Big_iris]

sudo叩いた時の大いなる力には大いなる責任が伴うに驚愕してそう

[GENS]

減ったとはいえ人権侵害コンテンツを野放しにしてる連中が犯罪者にお金払うのは全然おかしなことではないし、早くニコニコは畳むべきだろ

[a2c-ceres]

そりゃ権限持ってりゃその権限の範囲内の事なら誰でも意図的に起こせる。タイトル書いた奴が一番わかってないのでは。重要なのはどの権限を誰に与えるか。

[kei_1010]

逆に聞きたいのだが、アクセス権を持ってるのにできない事があるのって大丈夫なのか？それはアクセス権が無いのでは？それとも読み込み権限と書き込み権限の違いについて話したいの？

[taguch1]

中の人ができなきゃリリースもサービスクローズも何もかもできないだろうが、このサイトミュートして良さそうだなw

[ultrabox]

それはそう（衝撃）

[dagama]

破壊を引き起こせるアカウントの払い出しや使用時に全社アラートが走るぐらいはしてもいいのかもしれんね

[Silfith]

当たり前の話、割り振られた権限を適切に管理運用するのは個々のユーザーの責任なのでシステム担当者の責任だけじゃない。経営にも責任あるはずなのだが金を払う角川にはそれがない、という証明になった。

[wwolf]

それは当然のことでは

[cl-gaku]

それはどこでもそうだろ

[dodecamin]

リモートアクセスを全面禁止にするしか

[paradisemaker]

な、なんだってーっ！！

[Yuny]

最大のセキュリティホールは中の人って昔から言われてる話。もしも管理者権限がある人が悪いことをやらかしたらそりゃ当然に大変なことになる。管理者なんだから。わざわざ長々と書くことかなあ？

[SPIRIT_PHOENIX]

トロイの木馬(物理)

[jtw]

悪意を持った社員などがアカウントを使ってシステムにアクセスすることによって情報漏洩やサービスダウンを起こせる可能性が改めて認識され、「逆に恐ろしい」/お前は何を言ってるんだ！？素人が書いてる！？

[blueboy]

アクセス権限の意味がわかっていないブコメ群。「どの範囲の」アクセス権限かが問題なんだ。常識的には「レベル１～レベル７」ぐらいの権限に分ける。最下層民が最上層にはアクセスできない。／カワンゴのせいだよ。

[doku19]

危険が危ない