10月に入ってから、大きな情報流出のニュースがいくつも続きました。今回は、その中から3つを取り上げて、「Webサイトってそもそも何のためにあるのか」という話まで掘り下げてみたいと思います。「またセキュリティ？」って思う人もいるかと思いますが、今は大事な局面だと思います。お付き合いいただけますと幸いです。
今月、何が起きていたのか？のピックアップ
skyticket（旅行予約サイト）
10月9日の発表によると、約1,464万件の顧客情報が対象となり、そのうち約413万件には会員のログインパスワードが含まれるとのことでした。さらに続報で、当初は保管していないので影響はないとしていたクレジットカード情報が、最大6,140人分流出していたことが明らかになりました。 itmediaimpress
コミックシーモア（電子書籍のストアです）
会員データベースの登録情報319件と、システムログファイル上の情報が最大約420万件流出したと発表されました。ただし、この最大約420万件には同一利用者の情報が重複している可能性があり、420万人分を意味する数字ではないそうです。 impressrocket-boys
Studio（ノーコードのWeb制作サービスです）
共同通信の報道では、外部からの不正アクセスにより、全ての顧客の個人情報が流出した可能性があるとされています。原因はシステムの欠陥を悪用されたことで、実際に情報が持ち出されたかどうかは確認できていないとのことです。 kumanichi
※いずれも調査が続いている案件で、数字や状況は今後変わる可能性があります。そのため、本記事では「最大」や「可能性」という言葉を、発表のとおりに残しています。
例え話①：引っ越しで捨てたはずの通帳
skyticketの件で、私がいちばん気になったのは、以下です。
同社は2018年7月にカード情報を自社サーバーで保管しない方式へ移り、それまでの情報も削除したと説明しています。ところが、会費の支払いに関する変更履歴のログが削除されずに残っていて、そこにカード情報が含まれていました。 rocket-boys
これは、引っ越しのときに大事な通帳をきちんと処分したのに、玄関の靴箱の奥から、口座番号を書き込んだメモが出てきたようなものです。本人は「もう持っていない」と信じています。ところが、泥棒が見つけたのはメモのほうでした。
この「メモ」にあたるのが、ログです。ログとは、システムが「いつ、何をしたか」を後から確認するために書き残していく日誌のことです。便利な反面、うっかり大事な情報まで書き込んでしまうことがあります。しかも、日誌は誰も読み返さないまま、何年も残り続けるのです。
例え話②：店の防犯日誌から漏れる
コミックシーモアの件も、同じ状況が見えます。会員データベースからの流出は319件でしたが、システムログ上の情報は最大約420万件でした。
ログを「お店の来客ノート」だと考えてみましょう。レジの金庫は頑丈に守っていても、ノートには「いつ、誰が、どんな本を買いに来たか」が毎日書かれています。金庫ばかり見ていて、ノートの置き場所と中身が手薄だった、ということが起こるのです。また、同社はクレジットカード情報は対象システムで保有しておらず流出していないとしています。持たないという選択が不幸中の幸いだったと言えますね。 impress
例え話③：合鍵を預けた管理会社が狙われる
Studioのニュースは、少し性質が違う気がします。Webサイトを持つ事業者を支える「作る側」のサービスが狙われた、という点です。
お店を借りるとき、管理会社に合鍵を預けますよね。自分の店の戸締まりをどれだけ完璧にしても、管理会社の鍵箱が破られたら、意味がなくなってしまいます。今回、流出の可能性があるのは、ユーザー名やメールアドレス、パスワードのほか、外部サービスと連携するための認証情報などとされています。この「連携のための認証情報」は、まさに合鍵のことを指すのです。 kumanichi
つまり、Webサイトのセキュリティは、自社のサイトだけを見ていても足りません。制作ツールやクラウド、委託先まで含めて、自分の店の戸締まりに関わることなのだということを覚えておきましょう。
Webサイトの在り方を見直す
ここからが本題です。Webサイトはこれまで「会社の玄関」などと言われてきました。ですが、お問い合わせフォームや会員登録、予約、決済と、お客様の情報を預かる機能が増えた今、Webサイトは玄関というより、営業中の店舗となっています。店舗なら、守る責任があるのは当然ですよね。そこで4つの見直しをご提案します。
1. 持たない
預からないデータは、盗まれようがありません。決済情報やパスワードの管理は、専門の仕組みに任せるのがいちばん安全です。
2. 残さない
1のように「持たない」と決めたら、保管庫だけでなくログや古いバックアップも点検する必要があります。消したつもりなのがいちばん危ないです。年に一度で良いので、持ちデータの棚卸ししてみましょう。
3. 任せ先を知る
制作ツールやレンタルサーバー、外部サービス、委託先など。どこに何を預けているかを一覧にして、トラブルのときに誰へ連絡するかまで決めておきます。連絡網ですね。
4. 見張り、早く正直に伝える
どれだけ備えても、ゼロにはできません。だからこそ、少しでも早く異常に気づくこと、そして気づいたあとの行動が信頼を左右します。例えば今回のコミックシーモアは、第1報から第4報まで、段階を追って状況を公開していました。弊社が取引をしているサーバ会社からも、判明したことは随時メールで伝えてきました。このような対応は信頼に値するのではないでしょうか。
今日からできること
最後に、大きな投資をしなくても今日からできることを挙げておきます。
- 使っていないページや古いテスト用のサイトを閉じる
- 管理画面のパスワードを使い回さず、二段階認証を有効にする
- WordPressなどのCMSやプラグインを、最新の状態に保つ
- フォームやログに、不要な個人情報を残していないか確認する
- 制作や運用を任せている会社の連絡先と、緊急時の流れを確認する
どれも地味ですが、地味なことの積み重ねが、いちばんの防犯になることを覚えておきましょう。そして委託先との連携も忘れずに。
おわりに
前にも書きましたが、Webサイトは作って終わりという時代は、とうの昔に終わっています。作ったあとに、何を預かり、何を残し、誰に任せ、異常があればどう伝えるか。それを考え続けることが、これからのWebサイトの在り方だと思いますし、そうでなければWebサイトを活かすことは難しいのではないでしょうか。
弊社では、Webサイトの運用・保守サービスをご提供しています。「うちのサイトは大丈夫かな」「委託先まで含めて見直したい」といったご相談も、どうぞお気軽にお寄せください。
