2段階認証とは～ITセキュリティ入門①～

［非表示］［ open ］

不正アクセスとハッカー

２０１９年７月に大手某コンビニの決済サービスが不正アクセスされ、クレジットカードから他人に勝手にお金をチャージされてしまうという被害があり、大きなニュースになりました。

ニュースは専門用語も多く、マスコミも良く理解せず報道しているものもあり、「大事件だと思うけど、一体何が起きたの？」という方も多いのではないでしょうか。

そこで、これからICT（Information and Communication Technology：情報通信技術）の勉強をしようと思っている方に、それを優しく解説しましょう。

まず、基本である“不正アクセス”からです。以下は総務省のホームページです。ここはとても分かりやすく、イラストもかわいいので必見です。

引用：国民のための情報セキュリティサイト
http://www.soumu.go.jp/main_sosiki/joho_tsusin/security/basic/risk/06.html

不正アクセスとは他人のIDとパスワードでオンラインのサービスへ勝手にログインし、情報を盗んだり書き換えたりすることです。例えばショッピングサイトならば、住所やクレジットカード情報などが当然データとしてあります。つまり、他人に勝手に買い物をされて、商品の送り先は犯人の元へ届けることなど簡単にできるわけです。

2012年には最高裁判所のホームページが中国国旗の画像に改ざんされて、閉鎖されたニュースがありました。これも不正アクセスです。

引用；日経新聞
https://www.nikkei.com/article/DGXNASDG1404Y_U2A910C1EA2000/

不正アクセスのことを“ハッキング”と呼び、それを行う人のことを“ハッカー”、それをグループで行うのを“ハッカー集団”という表記をメディアがしますが、正しい意味ではない場合もあります。

今回のコンビニのようにあくまで犯罪的に不正アクセスする場合は“クラッキング”といい、それをする人は“クラッカー”といいます。

本当のハッカーは「コンピュータの機器やプログラミングの高い専門知識を持ち、様々な新しい技術を生み出す人」という意味で良い人を指すのです。が、現在では、その範囲があいまいになり、不正アクセスする人もハッカーであるという意味として表記される場合もあります。

引用；日本産業規格 JIS X 0001-1994
https://kikakurui.com/x0/X0001-1994-01.html

なぜ不正アクセスされたのか？

ではなぜ某コンビニでは不正アクセスをクラッカーができてしまったのでしょうか？

凄い専門知識を駆使して行ったのでしょうか？実は単純なコンピュータシステムの設計ミスです。

以下は経済産業省のホームページで、QRコードなどを使ったコンビニでの決済などで不正アクセスができないようなガイドライン（ルール）を決めていました。しかし、これが守られていなっかったのです。事件後、それを徹底して守るように書かれています。

引用：経済産業省「不正利用防止のための各種ガイドライン」
https://www.meti.go.jp/press/2019/07/20190705003/20190705008.html

では何が守られていなかったのでしょうか？まず皆さんも何かのコンピュータのIDとパスワードを作ったことはありますか？その組み合わせでシステムにログインをしてサービスを安心して利用できる訳です。

今回の問題は「パスワードを忘れてしまった！」という場合の仕組みです。
一般的は「パスワードをリセットする」などのボタンをクリックし、その後登録したメールアドレスにパスワードを再度設定する手続きができるサイトへ行く、など行います。

そこで某コンビニのシステムは「パスワード再設定の送り先のメールアドレスを入力」という項目をつけてしまったのです。

ということは不正アクセスをしたい人が、自分のメールアドレスを入力して、パースワード変更手続きが他人でもできるので、パスワードを自由に書き替えることが可能だったといことです。そもそもIDをメールアドレスにする、ということ自体も危険なのですが、それも問題の１つです。

こんな単純な話なのですが、大きな組織でだれもそれを指摘せず、運用を開始してしまったのです。ITの専門家でなくとも簡単に不正ができてしまった、ということです。

二段階認証をしていない

これはGoogle、Apple、Twitter、Facebookなど大きなIT企業は必ずやっている仕組みです。
システムにログインする際にIDとパスワードを入れる際に、メールやSMS（ショートメッセージ）に別の数字や文字を送信し、それも入力しないとログインできない、という仕組みです。これであれば、スマートフォンの電話番号とメールアドレスなど複数の情報でセキュリティ対策しているので安心なのが判ります。

某コンビニの記者会見では社長がこの仕組み自体を知らなかった、ということが判り、さらに問題が大きくなりました。

実は二段階認証も１００％安全なわけではありません。一番やっていけないのは、IDとパスワードをメモに書いて、見えるところにおいておく、などする人がいます。通りかかりの人が見てしまったら簡単に不正アクセスできてしまいます。コンピュータのエンジニアが努力しても、人間のミスで大きな問題に発展します。ITシステムを作る人、使う人・組織全体が正しい知識を持って取り組まないと大きな社会問題になるのです。

コネクテッドカーって何？

ICT＝Information and Communication Technology（情報通信技術）でお仕事と言えば、Google、Apple、Twitter、Facebook、Amazonなど思いつくでしょう。しかしこれからは自動車メーカも注目すべきです。
“コネクテッドカー”という多分聞いたことがないキーワードがあります。

以下は総務省ホームページの「通信情報白書」に書かれている内容です。