10年以上前に使い終えたページが攻撃され、会員と社員のIDやパスワードが流出

01何が起きたか

積水ハウスは、2008年から2011年まで使っていた写真ギャラリーのページがSQLインジェクションSQLインジェクションホームページの入力らんに、データベースへの命令をこっそりまぜて送り、中の情報を盗んだり書きかえたりする攻撃。用語集で語源も見る攻撃を受け、情報が流出したと5月24日に公表しました。オーナー会員約10万8千人分のメールアドレス・IDID（アイディー）ひとりひとりを見分けるための番号や名前。社員番号やメールアドレスがIDとして使われることが多いです。用語集で語源も見る・パスワードと、従業員や取引先の社員約18万4千人分のメールアドレスとパスワードパスワードアカウントに入るための「合言葉」。自分しか知らない言葉にしておかないと、ほかの人に入られてしまいます。用語集で語源も見るの流出が確認されました。サーバーサーバーみんなにデータやサービスを配る役目のコンピューター。ホームページやメールは、サーバーに置かれています。用語集で語源も見るの管理を任せていた業者が、アクセスの急増に気づいたことで発覚しました。

02原因・侵入経路

使い終わったあとも残っていたページの設定の弱点を突かれ、SQLインジェクション（入力欄などから不正な命令を送る攻撃）でデータデータコンピューターがあつかう、数字や文字、写真などの「情報のつぶ」。お客さんの名前の一覧も、売上の表も、みんなデータです。用語集で語源も見るを抜き取られたとされています。

03中小企業がとるべき対処方法

1. 使っていないページ・テストサイト・古いサーバーを洗い出して削除する
2. お問い合わせフォームフォーム（入力フォーム）ホームページで、名前や問い合わせ内容を入力して送る欄。送られてきた情報をきちんと守るしくみが必要です。用語集で語源も見るなど入力欄のあるページの脆弱性診断脆弱性診断悪い人と同じ目で、ホームページやシステムに「弱いところ」がないか調べる健康診断。用語集で語源も見るを受ける
3. WAFWAF（ワフ）ホームページをねらった攻撃を見分けて止める、ホームページ専用の門番。用語集で語源も見る（ホームページWebサイト（ホームページ）インターネット上にある、会社やお店のページのまとまり。日本ではよく「ホームページ」と呼ばれます。用語集で語源も見るへの攻撃を防ぐしくみ）を入れる
4. 社員に、会社のパスワードを他のサイトで使い回さないよう徹底する

04関係する診断項目

• B-05S使っていない古いサーバー・レンタルサーバー・テストサイトを放置していない
• G-04Aお問い合わせフォーム等の脆弱性診断を実施している
• G-05BWAF（Webアプリケーションファイアウォール）を導入している
• C-03Aパスワードの使い回し・推測しやすいパスワードを禁止している

93項目の診断について

05この事例に出てくることば

ID（アイディー）

ひとりひとりを見分けるための番号や名前。社員番号やメールアドレスがIDとして使われることが多いです。

パスワード

アカウントに入るための「合言葉」。自分しか知らない言葉にしておかないと、ほかの人に入られてしまいます。

SQLインジェクション

ホームページの入力らんに、データベースへの命令をこっそりまぜて送り、中の情報を盗んだり書きかえたりする攻撃。

サーバー

みんなにデータやサービスを配る役目のコンピューター。ホームページやメールは、サーバーに置かれています。

データ

コンピューターがあつかう、数字や文字、写真などの「情報のつぶ」。お客さんの名前の一覧も、売上の表も、みんなデータです。

フォーム（入力フォーム）

ホームページで、名前や問い合わせ内容を入力して送る欄。送られてきた情報をきちんと守るしくみが必要です。

脆弱性診断

悪い人と同じ目で、ホームページやシステムに「弱いところ」がないか調べる健康診断。

WAF（ワフ）

ホームページをねらった攻撃を見分けて止める、ホームページ専用の門番。

Webサイト（ホームページ）

インターネット上にある、会社やお店のページのまとまり。日本ではよく「ホームページ」と呼ばれます。

リンク

クリックすると、別のページやファイルへ飛べる文字や画像。見た目の文字と、本当の行き先がちがうことがあるので注意します。

06参照元

• piyolog記事を読む（2024-05-28）

本ページは、参照元の報道をもとに当社が要約したものです。正確な内容は参照元と当事者の公表をご確認ください。