RR

これは「入口を固めれば守れる」という発想が通用しないことを示す事例です。 侵入口はCROSの本体ではなく、特定の1社だけに提供していたBIツールでした。 会社側は「本体への直接侵入ではない」と説明していますが、攻撃者から見れば入口がどこかは関係ありません。 お客様ID 155,280件、受注ID 231,998件、カード情報 延べ1,671件が抜かれ、盗まれたメール送信用のキーで11,441件の不正メールまで送られています。 入口を1つ見落とせば、中にあるものは全部持ち出され、盗んだ鍵は次の攻撃の道具に変わります。 ACCESSが公表した再発防止策のうち、BIツールのセキュリティ強化、DBパスワードの変更、メール認証情報の無効化、決済用秘密鍵の一部更新は、どれも破られた入口を塞ぎ、盗まれた鍵を取り替える作業です。 つまり、BIツールの強化やパスワード変更は入口側の手当てで、次に別の入口が見つかれば同じことが起きます。 必要な手当てではありますが、再発防止にはなりません。攻撃者は次の入口を探すだけだからです。 対策の中で唯一本質に触れているのは「決済未完了のカード情報を保持しない」という一点です。 しかしそれは漏洩が起きて初めて出てきた判断で、しかもカード情報に限られています。 お客様ID 155,280件、受注ID 231,998件の氏名・電話・住所・メールを、なぜその形のまま、その場所に持ち続けるのか。そこには答えていません。 入口を固める対策は、 入られた瞬間にすべて無意味になります。 問うべきは「どう防ぐか」ではなく「入られたとき、そこに何が残っているか」です。 持たなくてよいものは持たない。持つ必要があるものは、盗まれても単体では意味をなさない形で持つ。 この設計に切り替えない限り、同じお知らせは形を変えて何度でも出ます。「連結業績への影響は軽微」という評価で幕を引いてよい事案ではありません。