SECURITY
この情報が外部に晒されたことで、部外者が不正アクセスできる状態になっていました
PWNED 「PWNED」の週刊コラムへようこそ。ここでは他組織のセキュリティの失態を愛情を込めてからかいながら、私たち自身がそこから教訓を学べることを願っています。今週取り上げるのは、本来なら誰よりもよく分かっているはずのIT部門が、ユーザーの認証情報をまさに置いてはいけない場所に置いてしまったという話です。
自組織のネットワークに大穴を開けてしまった経験談があれば、ぜひ[email protected]までお寄せください。ご希望があれば匿名での掲載も可能です。
今回の恐ろしい技術逸話は、マーケティング・SEO企業Wytlabsでビジネス成長担当ディレクターを務めるMarc Bishop氏からの提供です。Bishop氏はこれまでのキャリアの中で、鶏小屋の番人であるはずの人物が、ほぼ誰でも手に取れる場所に鍵を置き忘れていた企業に出くわしたことがあるといいます。
Bishop氏のクライアント企業は、表面上は責任感のある会社でした。強固なパスワードポリシーを設けており、従業員にはセキュリティ研修まで受けさせていました。ところが、オフィス移転をきっかけに、基本的なセキュリティ衛生がすっかり崩れてしまったのです。
この企業は、古いノートPCを新しいユーザーに配布することにしました。受け取る側の手間を省こうと、誰もが大好きな認証情報共有ツール――付箋――をノートPCに貼り付け、そこに各従業員の名前と初期ログイン認証情報を書き込んでいたのです。
ここで一旦立ち止まって、ユーザー名とパスワードを紙に書いて、部外者の目に触れる可能性のある場所に置くことがいかにまずいか考えてみましょう。たとえIT部門の人間が悪意を持って行動する可能性を考慮するなら、IT部門自身でさえ本来はあなたのパスワードを知るべきではありません。ですから、そのノートPCがサポート担当者しか出入りできないクローゼットの棚に置かれていたとしても、付箋を貼っておくこと自体が問題です。
しかし今回の状況はさらに深刻でした。というのも、問題のノートPCは、施設管理チームが移転先オフィスの準備を進めている間、会議室に保管されていたからです。その間、会議室に出入りできる人物なら誰でも中に入り、複数のユーザーアカウントの認証情報を手に入れられる状態でした。
そして実際にそれが起きました。ある業務委託の作業員が会議室に入り込み、付箋の写真を撮影したのです。この非従業員は後にリモートでログインし、共有ドライブに保管されていた計画文書を含む、あらゆる機密データにアクセスしました。
この話で特に衝撃的なのは、情報漏えいの原因がほかならぬIT部門自身にあったという点です。セキュリティ維持を任務とするIT業界の人間は、たとえ一時的なパスワードであっても、決してそれを人目に晒すようなことをしてはなりません。
パスワードのセキュリティは何より重要です。新しいアカウントを発行する際には、認証情報を暗号化されたチャネル経由で送るべきであり、できれば意図した受信者のみが一時パスワードを閲覧できるようにするのが望ましいでしょう。®
