[B! JAL] tsupoのブックマーク

JAL不正アクセス事件が示唆するセキュリティ対策の錬度と頻度

印刷するメールで送るテキスト HTML 電子書籍 PDF ダウンロードテキスト電子書籍 PDF クリップした記事をMyページから読むことができます 9月24日、日本航空の本社にあるPCがウイルスに感染し、そのせいで顧客情報（JALマイレージバンクの会員情報）が流出した可能性があるという発表がありました。今回の事故についての概要は以下のようになっています。まず、7月30日水曜日以降に、JALマイレージ会員の顧客情報を記録、管理している「VIPS」と呼ばれる社内システムへの不正アクセスが発生しました。その結果、8月18日以降に顧客情報管理システムから顧客情報が流出した可能性が生じました。この時点ではまだJAL側はこうした事象に気付いていなかったそうです。 VIPSへアクセス可能な権限を持つのは社内のPCですが、天王洲のJAL 本社にあるPCのうち22台、福岡市のコールセンターでも1台

tsupo 2014/10/14

「マルウェアに感染させたPC」を踏み台に、正規のログイン権限で社内システム(VIPS)にアクセスしてデータを抜き出し、外部に送信 / 該当PCはUSBメモリなどの外部記憶装置を禁止するシステムを導入(していたが感染)

リンク

「JALへの不正アクセス」中間報告を読み解く

印刷するメールで送るテキスト HTML 電子書籍 PDF ダウンロードテキスト電子書籍 PDF クリップした記事をMyページから読むことができます相次ぐ不正アクセスとJALの個人情報漏えいの可能性中間報告 2013年末あたりから不正アクセスによる個人情報漏えい事故が頻発している。多くの場合は、リスト型アカウント攻撃と呼ばれるIDとパスワードの流出と、パスワードの使い回しによる不正アクセスが原因となっている。被害が発生した各社では、パスワードの変更をアナウンスしており、先進的に取り組んでいるところでは多要素認証なども取り入れるなどして、再発防止に備えている。リスト型アカウント攻撃が後を絶たないのは、IDとパスワードによる単純な認証に加えて、IDをメールアドレスに設定しているという問題がある。このことはシステム管理者などには周知されている一方で、システムを早急に変更するのは難しく、

tsupo 2014/10/14

顧客情報にアクセスできる社内PCがウイルスなどに感染し、顧客情報の一部が外部サーバ(香港)へ送信された / いわゆるゼロデイ攻撃だと推測 / 感染したPCは全体で23台、このうちの12台に顧客情報が格納 // 標的型?

リンク

終わらないパスワード議論と、広告に求められる誠実さと

終わらないパスワード議論と、広告に求められる誠実さと：セキュリティクラスターまとめのまとめ 2014年2月版情報セキュリティ月間ということもあって、セキュリティ系イベントが多数開催され、その様子が多数ツイートされたのを見て、うらやましく思うことが多かった2月です。そんな2月は、JALのWebサイトが不正アクセスを受け、マイルを奪われてしまった事件から始まります。原因は設定できるパスワードの短さにあるのではないかということもあり、パスワードの話題が好きなセキュリティクラスターの格好の餌食となります。そしてYahoo!の検索連動型広告がフィッシングサイトの広告を掲載するということも大きな話題となりました。技術系の話では、CSRF対策のトークンにセッションIDを使うのはどうなのかというトピックで盛り上がり、多数の意見が飛び交った2月のセキュリティクラスターでした。 JALへのパスワード攻

tsupo 2014/03/12

「JALとANAのパスワードが6桁、4桁の数字にしか設定できない」問題

リンク

究極のインソーシング「ユーザーメード」、JALパイロットが手作りシステムで事故を防ぐ

最近、「インソーシング」と呼ばれるシステム内製化の動きが活発だ。行き過ぎたアウトソーシングで不都合が生じ、「自社の事情に合致した情報システムは自ら作るしかない」と考える企業が増えているのだ（関連記事：インソーシングで好機をつかめ！これからのシステム内製術）。この記事で紹介するのは、そのインソーシングの究極のミニマム形態である「ユーザーメード」の事例だ。主役は和田尚氏（次ページの写真1）。日本航空（JAL）の社員（パイロット）である。開発したシステムは「JAL CB-CT」と呼ばれている。CB-CTは、Competency Based Check and Trainingの頭文字をつなげたもの。「能力を基盤とした検証と訓練」とでも訳せるだろうか。自社訓練と資格審査での使用を目的に、2013年4月から本格的に稼働させている。