不正アクセスで1億円以上被害も IPA、上半期の「コンピュータウイルス・不正アクセスの届出事例」発表
IPAが「コンピュータウイルス・不正アクセスの届出事例」を
掲載していたので、紹介します。
IPAに2022年上半期にIPAに届出があった事例の内、263件取り上げて、
以下の5種類に分類されています。
IPAが「コンピュータウイルス・不正アクセスの届出事例」を
掲載していたので、紹介します。
IPAに2022年上半期にIPAに届出があった事例の内、263件取り上げて、
以下の5種類に分類されています。
・コンピュータウイルスの検知・感染被害：174件
・身代金を要求するサイバー攻撃の被害 26：件
・脆弱性や設定不備を悪用された不正アクセス 36：件
・ID とパスワードによる認証を突破された不正アクセス 16：件
・その他 11：件
また漏洩事例としては、AWSアクセスキー漏洩による、
S3への不正操作被害が取り上げられていました。
その結果、S3のデータが全て削除され、脅迫文がS3に
残っていたようです。
データ復旧調査に2,000万円かかったようです。
再発防止策としては以下が紹介されています。
・不必要なネットワークからのアクセスを制限し、
特定の IP アドレスからのアクセスのみを許可する設定を実施
・AWS リソースに対する操作ログ、及び S3 バケットへの
アクセスログの取得を徹底
・S3に保存したデータを削除する際に、多要素認証を必須とする
仕組みであるS3 MFADelete を導入
・AWS が公開している、AWS サービスのベストプラクティスを実施
・バックアップデータの取得を徹底
・ペネトレーションテストの実施
S3に商品画像を掲載して、エンドユーザーのスマホアプリに
表示することは結構多いと思います。
完全にIP制限は難しいですが、参照と登録/更新/削除で
制限を分けるなど工夫が必要ですね。
S3 MFADeleteも気になりますが、通常業務で削除することが
多い場合PGの複雑化やバッチのレスポンスに影響しないか、
気になるところです。
今後もセキュリティ記事は週1回上げていこうと思います。
＜元記事＞
不正アクセスで1億円以上被害も IPA、上半期の「コンピュータウイルス・不正アクセスの届出事例」発表
https://enterprisezine.jp/news/detail/16541
コンピュータウイルスの検知・感染被害：174件
身代金を要求するサイバー攻撃の被害 26：件
脆弱性や設定不備を悪用された不正アクセス 36：件
ID とパスワードによる認証を突破された不正アクセス 16：件
その他 11：件
コンピュータウイルスの検知・感染被害：174件
身代金を要求するサイバー攻撃の被害 26：件
脆弱性や設定不備を悪用された不正アクセス 36：件
ID とパスワードによる認証を突破された不正アクセス 16：件
その他 11：件
また漏洩事例としては、AWSアクセスキー漏洩による、
S3への不正操作被害が取り上げられていました。
その結果、S3のデータが全て削除され、脅迫文がS3に
残っていたようです。
データ復旧調査に2,000万円かかったようです。
再発防止策としては以下が紹介されています。
不必要なネットワークからのアクセスを制限し、
特定の IP アドレスからのアクセスのみを許可する設定を実施
AWS リソースに対する操作ログ、及び S3 バケットへの
アクセスログの取得を徹底
S3に保存したデータを削除する際に、多要素認証を必須とする
仕組みであるS3 MFADelete を導入
AWS が公開している、AWS サービスのベストプラクティスを実施
バックアップデータの取得を徹底
ペネトレーションテストの実施
S3に商品画像を掲載して、エンドユーザーのスマホアプリに
表示することは結構多いと思います。
完全にIP制限は難しいですが、参照と登録/更新/削除で
制限を分けるなど工夫が必要ですね。
S3 MFADeleteも気になりますが、通常業務で削除することが
多い場合PGの複雑化やバッチのレスポンスに影響しないか、
気になるところです。
今後もセキュリティ記事は週1回上げていこうと思います。
＜元記事＞
不正アクセスで1億円以上被害も IPA、上半期の「コンピュータウイルス・不正アクセスの届出事例」発表
https://enterprisezine.jp/news/detail/16541