[雑考] トホホな件 東京都税クレカ払いサイト、住宅金融支援機構団信用生命保険特約料クレカ支払いサイトから大規模情報漏えい

==============================
皆、いつになったら学習するのか。Internetにお金とか大事なものを扱わせてはいけないのです。
東京都税クレカ払いサイト、住宅金融支援機構団信用生命保険特約料クレカ支払いサイトから大規模情報漏えい
==============================
過去にも何回か同種の意見を書いたことがありますが、

　　「あなたにとって、他人に知られたら致命傷になるような情報を
　　　インターネットにさらしちゃあいけないんですよ。」

　　「守られてる？　うん。守られてる事になってるだけです。
　　　守られていませんよなんて言うやつはいないから。」


インターネットというのは秘密のモノや動かなくなると困るものを繋ぐ場所じゃあないんだよ
　　http://blog.goo.ne.jp/tonton_ponpon/e/c86c96d72ef0e8a9288706537c2a0896
　　機能停止したり、改ざんされたら命にかかわるようなものを
　　インターネットにさらすなんて馬鹿すぎるという話

Webページを全部暗号化(SSL化)すりゃあいいってもんじゃあないだろう
　　http://blog.goo.ne.jp/tonton_ponpon/e/98c9b870f53d13f3814ae9e500a989d4
　　暗号化されています。暗号化すればいいんですか？　安心ですか？


と言っている端から、ナイスかつトホホな事例です。
　　都税と住宅金融支援機構のクレジット払いサイトに不正アクセス、約72万件流出か
　　http://itpro.nikkeibp.co.jp/atcl/news/17/031000790/

上記ニュースによれば、WebサービスのJava フレームワークの Apache Strutus2の脆弱性を利用して不正侵入が行われ、データの不正持ち出しが発生し、多量のクレジットカード関連情報が流出したそうです。　両サイトの運営を委託されていた GMO ペイメントゲートウェイの発表によれば、
　　東京都税関係　　　　　67万6,290件(クレカ番号、有効期限、メアド)
　　住宅金融支援機構関係　4万3,540件(上記＋住所、氏名、電話番号、生年月日、暗証番号)
が流出したとの事です。








Apache Strutus2の脆弱性についてIPAが3月8日に脆弱性の存在をアピールしたそうで、3月9日にGMOペイメントゲートウェイが調査した時には、既に持ち出されていたというのだから、ほぼ話になりません。

これを見て強く感じるのが、運営会社が悪いとか、サービス提供主体(都とか住宅金融支援機構)が悪いとかいう話ではなくて、「そういうもんなんです」という事です。


GMO72万件流出危機の原因、Struts2に「意のままに操られる」深刻な脆弱性
http://itpro.nikkeibp.co.jp/atcl/column/14/346926/031000880/
上記のような記事がまた、本質を隠してしまうと思います。　意のままに操られる脆弱性は Strutus2に限った事ではなくて、大抵の脆弱性は権限昇格等を可能にし、なんでもやり放題の状況を生み出すものばかりです。　攻撃用のツールがネット上で出回っているのもほかの脆弱性も同じです。　つまり、今回の問題は別に珍しい話でなく、いつものことなのです。


便利さとリスクはバランスなので、便利さを取れば何らかのリスクや不安定性を抱え込むことになります。それを理解したうえで利用者は自身で絶対に譲れない一線というモノを決めて、それを守って行動すべきだという事です。

例えれば、高速道路は目的地に早く到達できるという利便性をもたらしますが、高速道路上で事故を起こせば、一般道の２倍以上の速度があるので、その際の破壊力は４倍以上です。　つまり、致死率はより高くなります。

インターネットを使うなとは言いません。　でも、以下のような事を考えて使うべきだと言いたい。

インターネットに情報をさらす場合、ほぼ、確実に「漏れる」と思っておく方が安全です。
解けない暗号はないし、そもそも、データは最終的に利用されるときには必ず復号(平文化)されるから。そうしないと使えませんからね。　そのうえで、漏れてはまずい情報を自身で抽出し、それだけは流さないようにする工夫が必要です。　個人情報＝重要　ではなく、漏れたら即死な情報が重要なのです。　そこをみんな勘違いしている。

漏れてはまずい情報とは何か？　それは人により違うと思います。
　　住所が漏れるだけで致命傷になる人もいるでしょうが多くの人には致命傷ではありません。
　　しかし
　　クレジットカード番号と暗証番号のペアは一般の人にも致命傷かもしれません。
このあたりを自分なりに考えて、流す情報、流さない情報のガイドラインを決めて行動しなければいけないと思うわけです。


インターネットは情報を発信し、共有する為の目的に特化して作られています。　秘密のおしゃべりをするには向いていないと思います。　2000年頃にワームやらなんやらが大流行した時にみな学習したはずなんですけどね。　すっかり忘れてしまっていますね。　今回のような出来事で、少しはみんなの目が覚めるといいのですけど。