PWNED Pwnedコラムへようこそ。ここは、組織が自ら招いた最悪の脆弱性を記録に留めるコラムです。車のドアをロックせずにセンターコンソールに大金を置いたままにするようなタイプの人なら、今週のストーリーはあなたのためのものです。
今回の悲劇的なテック・ストーリーは、Peteと呼ぶ読者から提供されました。Peteは駐車料金を扱う会社で働いており、セキュリティ管理のISO 27001認証を取得しようとしていました。
最初のセキュリティスクリーニングで明らかになった脆弱性の1つは、サーバルームのネットワークが本番データセンターのネットワークに接続されていたため、そのルームに入った誰もが様々なアクセス権限を得ることができるというものでした。その解決策は：サーバルームのドアに鍵をつけることでした。
Peteの会社が購入した鍵は2要素認証を使用していました。まず、入室者はIDカードをスワイプする必要があります。次に、4桁のPINを入力する必要があります。誰かが間違ったコードを入力した場合、失敗した試みはログに記録されます。
監査官がオフィスに来る予定の日、チームは最終的なドリルを実施しました。最初は良さそうに見えました。まず、CTOがパスをスワイプして、正しいPINを入力して、アクセスを得ました。次に、上級sysopがカードをスワイプして、間違ったパスコードを入力して、入室が拒否されました。下級sysopもプロセスを繰り返し、予想通り拒否されました。
しかし、その後、下級sysopはカードをスワイプせずにキーパッドのボタンを連打してみることにしました。驚いたことに、ドアは自動的にロック解除されました。上級sysopはこの予期しない動作を再現することができました。
どうやら、問題は10桁または11桁以上を入力すると、ロックに過負荷がかかってドアが開いてしまうということでした。予想される4桁を入力してそれが間違っていたり、カードをスワイプしなかった場合、ロックは閉じたままです。
その日の検査を控えて、会社は大きな問題に直面しました。彼らはいくつかの情報を戦略的に隠すことでそれを解決しました。監査官が到着したとき、上級sysopは毎回4桁のPIN番号だけを入力することでロックをデモンストレーションしました。予想通りに機能し、監査官は認証に署名しました。
ロックを供給したベンダーは、製造元ではなかったため、問題を修正することができませんでした。ロック製造元は交換品を提供する義務があったとのことですが、Peteがそこで働いている間はそれは起こりませんでした。
彼の知る限りでは、この物理的セキュリティ脆弱性を利用した人は誰もいませんでしたが、それでも気が気ではありません。覚えておいてください：物理的セキュリティがなければ、世界中のあらゆるサイバーセキュリティは崩壊します。
ネットワークに大きな穴を開けたままにしている人についてのストーリーがありますか？[email protected]で私たちと共有してください。匿名性は要望に応じて利用可能です。®
翻訳元: https://go.theregister.com/feed/www.theregister.com/2026/04/16/pwned_server_room_lock_lol/
