2024年11月、スポーツ用品メーカーとして知られるヨネックス社が、自社運営のオンラインショップにおいて不正ログイン被害を受けたことを公表しました。この事件は、近年増加傾向にある「リスト型攻撃」の典型的な例として、企業のサイバーセキュリティ対策の重要性を改めて浮き彫りにしました。
リスト型攻撃とは
リスト型攻撃（またはパスワードリスト攻撃）は、サイバー犯罪者が他のサービスから流出した認証情報を使用して、別のサービスへの不正アクセスを試みる手法です。この攻撃は、多くのユーザーが複数のサービスで同じパスワードを使い回す傾向があることを悪用しています。
ヨネックス社の事例詳細
ヨネックス社の公式オンラインショップでは、2024年11月7日から8日にかけて、第三者による不正ログインが発生しました。この攻撃により、223件の不正ログインが確認され、そのうち53件で個人情報が閲覧された可能性があります。
参考：https://www.yonex.co.jp/news/2024/2307.html
企業の対応は？
ヨネックス社は事態を重く受け止め、迅速な対応を行いました。
- 不正ログイン元の通信を遮断
- アクセスの強化監視
- 不正発注の特定と関係者への個別連絡
- 全会員のパスワードの無効化
この事例から、企業は以下の教訓を得ることができます。
- 多層防御の重要性
単一の防御策だけでなく、複数の層でセキュリティを確保することが重要です。 - 迅速な検知と対応
ヨネックス社は不正アクセスを早期に発見し、迅速に対応しました。これにより、被害の拡大を防ぐことができました。 - 透明性の確保
企業は事態を隠蔽せず、詳細な情報を公開しました。これは顧客との信頼関係を維持する上で重要です。 - 継続的なセキュリティ強化
この事件を機に、ヨネックス社はさらなるセキュリティ強化を約束しています。
昨今のサイバー攻撃と言えばランサムウェア攻撃が代表的ですが、ランサムウェアアクターは個人情報や設計情報、営業情報といった秘密情報を窃取し、その情報を公表しないことを条件に身代金を要求します。
情報漏洩を防止するには、まずは外部からのサイバー攻撃を検知し防御することが重要ですが、情報漏洩を引き起こすのは外部の攻撃者だけではありません。
権限を持った組織内のユーザーであれば、サイバー攻撃対策ソリューションがあったとしても、秘密情報に容易にアクセスし漏洩させることができます。
本セミナーの第一部では、EDRとSOCを使った外部からのサイバー攻撃の検知・防御手法につきご説明いたします。
本手法はEDRのログにより内部不正活動を記録し、場合によっては防止することも可能です。そして、これに加えて更なるセキュリティ対策としてご提案するのが、第二部でご紹介するファイル暗号化・IRMソリューションです。
IRMで秘密ファイルを暗号化すれば、権限を持ったユーザーが認証を経たときのみ復号化されますので、万一のファイル漏洩時にも情報自体は公開されません。
アジェンダ
- ご挨拶
- アクト 横井より EDR + SOCについて
- 株式会社データクレシス 津村様より 暗号化について
- 開催形式
オンライン/録画配信 - 登壇者
株式会社データクレシス
マーケティング本部
津村 遼
株式会社アクト
サイバーセキュリティサービス事業部
事業部長 ビジネスプロデューサー
横井 宏治
ユーザーへの提言
この事件は、一般ユーザーにとっても重要な教訓となります。
- パスワードの使い回しを避ける
異なるサービスごとに異なるパスワードを使用することが重要です4。 - 強力なパスワードの使用
推測されにくい複雑なパスワードを設定しましょう4。 - 二段階認証の利用
可能な限り、二段階認証を有効にすることで、セキュリティを強化できます。 - 定期的なパスワード変更
パスワードを定期的に変更することで、長期的な不正アクセスのリスクを軽減できます。
まとめ
サイバー攻撃の手法は日々進化しており、リスト型攻撃もその一つです。企業は常に最新のセキュリティ対策を講じる必要があります。同時に、ユーザー側も自身の情報を守るための意識と行動が求められます。セキュリティは企業とユーザーの共同責任です。両者が協力してセキュリティ意識を高め、適切な対策を講じることで、より安全なオンライン環境を構築することができるでしょう。
リスト型攻撃の脅威は今後も続くと予想されます。しかし、この脅威に対する認識を高め、適切な対策を講じることで、私たちはより安全にデジタル社会を享受することができるはずです。ヨネックス社の事例を教訓として、企業もユーザーも、サイバーセキュリティへの取り組みを一層強化していく必要があります。