米国で起きた「ターゲットの悲劇」の教訓’（日経ビジネスより）

セキュリティー対策はコストではない
米国で起きた「ターゲットの悲劇」の教訓

米国の大手流通企業ターゲット社で起きた大規模な個人情報流出事件を取り上げた記事。CEOが事件のために解任されたのだそうです。

「ハッカーによる攻撃によって顧客データが流出し、情報開示が遅れ、事件が昨年12月に明らかになると同時に株価が下落するなど企業の信用が大きく毀損され、トップが解任されるという展開は、米国の有力企業ではたぶん初めてのことだと思う。

報道では10代のロシア人が作成したとされるが、高校生でも作ることが可能な簡単なマルウエア（悪意のあるソフト）が、ターゲットの店舗にあるPOSデータに侵入して、顧客のクレジットカード情報を盗み出した事件だ。年末商戦を狙ったこともあり、4000万件のクレジットカードおよびデビットカード番号と、住所、電話番号など他の顧客情報7000万件も流出していた。」

ターゲット社のシステムに直接侵入したのではなく、店舗の電力消費と室内温度のモニタリングを委託していた空調会社にまず侵入したのだそうです。

「自社のシステムが脆弱であることにターゲットは気付いていた。内部報告書によれば、2007年には改善すべき点があることをセキュリティー部門は認識していた。外部の会社とシステムがつながっているというのは、ハッカーに狙われやすい脆弱性である。

ハッカーはネットワークの弱い部分を攻撃する。たとえば、IBMやボーイングといった大企業のセキュリティー対策は万全だ。だから、ハッカーが狙うのは、企業の法律顧問である弁護士事務所や監査を請け負う会計事務所であると言われている。」

米国だけの話ではなさそうです。
↓
ＰＯＳ端末にサイバー攻撃　カード暗証番号盗難の危険　国内初トレンドマイクロ社確認（産経より）

「・・・顧客が入力したカードの暗証番号を暗号化される前に盗み出す最新鋭ウイルスで、米国では昨年、大手スーパーの顧客情報が流出する事態に発展。飲食店などでＰＯＳ端末が広く利用される日本への初上陸を受け、関係者はセキュリティー対策の強化を訴えている。」

サイバー犯罪の損失、最大５９兆円　米報告書　日本は言語で防御？「比較的小さい」（産経）

「報告書は、日本について、算定方法に問題があり、実際の損失はもっと大きい可能性があることに言及する一方、「外国のハッカーにとって日本語の理解が困難なことが自然と防御になっている」とする日本の当局者の見解も紹介した。」