2026.11.11（水）
- 注目検索ワード
上野さんに編集長就任をお願いすることにした理由は、風貌がピエール瀧に似ていたこと、ビジネスの軸がしっかりしていたことの2点です。「法律を守る闇金」こと投資ファンドに会社が乗っ取られた現状では、彼がピッタリだと私は考えたのです。
資本関係を整理するなら今だなと考えた。会社の売却である。その時、ふと堀江さんのことを思い出した。そういえばオン・ザ・エッヂは買収に積極的だった。試しに声をかけてみたら、すぐに宮内さん率いるファイナンスの精鋭が大挙してやってきた。
TOBが成立し投資ファンドから派遣された新経営陣の印象は「法律を守る闇金ウシジマくん」といえばうまく伝わると思います。丑嶋社長が法律を守るなら普通にヒーローじゃないか、という声が聞こえそうですが、まさにその通りでした。一緒に働く相手として楽ではないですが。
「事件は作るもの」というのは、Scan創刊以来の柱のひとつだった。誤解があるといけないので、少し解説しよう。この方針のおかげで、本連載の第5回、第6回で紹介したようなさまざまな事件を作ることが出来た。
もともと、収支トントンで維持していたScanNetSecurityだったので、キャッシュアウトはないものの、帳簿上は毎月200万円近い赤字を計上するスタートとなりました。
改竄事件や脆弱性の報告では、いろいろあった。ベリサインさんとのやりとりは、今でも記憶に新しい。紳士的なやりとりに終始したのだが、先方の本音を考えるとうすら怖いものがある。
2006年9月にサイボウズ・メディアアンドテクノロジー社が設立され、土屋さんが社長に就任、その後、2009年3月にScan事業が3回目のM&Aでバリオセキュア・ネットワークス社(当時)に売却されるまでの3年間は、Scanは事業としては踊り場にありました。
いち早くWebアプリケーションと非PC(今で言うモノのインターネット)を狙う攻撃の増加を予測して、次々と独自記事を掲載した。当時は、多くのサイトに脆弱性があり、片端からそれをチェックしてサイトに報告、修正後記事にすればよかった。
ライブドアがITベンチャー史上最大規模の挫折を経験した会社だとすると、サイボウズはその正反対でした。ScanがM&Aされた夏にサイボウズ社は東京証券取引所一部に上場市場を変更しており、挫折のないベンチャーが持っている快活さや風通しのよさにあふれていました。
この当たりからネットバブルと言われた時代に突入し、いろいろな人たちと出会うことになった。サイバーエージェントの藤田さんに最初にお目にかかった時は、度肝を抜かれた。
ライブドアが強制捜査を受けて以降、経営陣逮捕、上場廃止とつづく中で、Scanを運営していたネットアンドセキュリティ総研社は5月にグループウェアの大手企業サイボウズ社に早々と売却されました。
自分で言うのもなんだが、内容はたいしたことがない。「自分で情報収集するのが面倒」という関係者の代わりに情報収集と整理をしてあげていたくらいの記事だった。媒体としてもっとも重要なポイントは、ふたつ。
強制捜査の最中に、社内で堀江貴文社長とすれちがったのを覚えています。ちょっとうわずった感じではあったものの、堀江さんはいつもどおり「おつかれさまです」と私に声をかけてきました。
グループを離脱しつつ、引き受け企業から社長を派遣してもらうというアクロバットを仕掛けようと思い立った。千載一遇の機会とは、まさにこのことだ。ライブドアには貸しはあっても借りはない。社員の選択肢は、限られている。やるしかない。
オフィスはまだ人もまばらな時間帯でしたが、その朝は少し変わったことが起きていました。ポータルサイトのメディア統括事業部の、部長クラスの人物が、急にその日の朝に、退職届を出したというのです。
誤報じゃないのか？ という雰囲気が流れ出した。でも、私はそうは思わなかった。NHKが独自調査であんなニュースを流すわけはない。地検からのリークだ。地検はやりもしない強制捜査の情報を流さない。
高橋 「従来の守り、例えばファイアウォールは、外からの攻撃を遮断します。ところが、標的型攻撃によって社内から外部に対して情報が送信されるような場合、httpやhttpsなどのプロトコルを使われると防ぐことは困難です。」
![[新春企画] セキュアキャットオブザイヤー2014 発表 画像](/imgs/p/WskKra9E7Ikkd0qzSpAbbW8JUgdCBQQDAgEA/8722.jpg)
連載「セキュリティにゃークサイド」に昨年一年間に掲載された山本洋介山先生撮影によるネコたちの人気投票を行う「セキュアキャットオブザイヤー2014」の結果を発表します。
「百度（バイドゥ）」製の日本語入力ソフトBaidu IME、Simejiがユーザーの入力した内容を無断で同社のサーバーに送信していたことが判明したんだにゃー。
しかし、クロスルート証明書を提供しない2048bit証明書に切り替えてしまうと、SSLが使用できない端末が発生してしまう。情報システム部門が危険性を認識していても、ユーザークレームにさらされる営業・ビジネスサイドからの不満が発生する。
総務省から2013年流行したリスト型攻撃の対策方法を示した「リスト型アカウントハッキングによる不正ログインへの対応方策について」が公表されたんだにゃー。
Googleは12月7日、同社が保有する複数のドメイン向けにフランスの認証局ANSSI傘下の証明機関から不正なデジタル証明書が発行されおり、誰でもなりすまし可能だったことを発表したんだにゃー。問題の証明書はすでに失効させる措置を取ったということなんだにゃー。
昨今のサイバー空間の変化には目を見張るものがある。それは従来の延長線上にある変化ではなく、政治、社会、経済の根本を揺るがす変化といえる。
毎年恒例のように開催されていたセキュリティイベント「AVTokyo」が今年は開催されなかったけど、「AVTokyo2013.5」として来年の2月16日に開催されることが発表されたんだにゃー。
Windowsのカーネルにローカルでの権限昇格が可能となる脆弱性が見つかったんだって。この脆弱性はWindows XPとWindows Server 2003に影響があるみたいなんだにゃー。
上野「今後入ってくる人は何を学べば良いんですかね。」
斉藤「たしか、FFRIの鵜飼さんも学生時代に研究室のサーバーに侵入されて、そこから興味を持ったという話を伺った記憶があります。たぶん興味を持ったきっかけから入っていけば良いのかなあって」
日本で広く使用されているECサイト構築パッケージWebアプリの「EC-CUBE」に合わせて6件の脆弱性が見つかって公表されているよ。脆弱性の内訳はXSS、CSRF、情報漏えいなんだにゃー。
「Officeさんの事件に関してはこちらも思い出深いです。実はACCSの0dayに関してはハッカージャパンにも記事としてはもらっていました。記事にやり方が書いてあったので、ぼく、動作確認してみたんですよ。」
11月13～14日にはセキュリティカンファレンス「PacSec」が開催されたよ。併催されていたモバイル脆弱性発見コンテスト「Mobile Pwn2Own」では日本のMBSDチームが見事にハッキングに成功して賞金4万ドルを獲得したんだにゃー。
Microsoft Officeで利用されるMicrosoft Graphics ComponentのTIFF画像処理にゼロデイ脆弱性があることが発表されているんだにゃー。
今回、ScanNetSecurityからお声掛けをいただき、私のブログを転載していただくことになりました。10月末に行われた、オンラインCTF「NotSoSecure CTF」の参戦記です。
php公式サイトのドメインphp.netがマルウェア感染の疑いでGoogle Safe Browsingにアクセスを遮断されていたことが話題になっていたけど、調査の結果、誤検知ではなく本当にマルウェアに感染していたんだにゃー。
10月23日にはセブン＆アイグループのネットショッピングサイト、セブンネットショッピングに不正ログイン攻撃が行われ、最大15万165件のカード番号が流出したことが発表されているんだにゃー。
企業が考えなければならないのは、クラウドで稼働させるアプリケーションのセキュリティだけでなく、そこへアクセスするデバイスやネットワークを含め、すべてを包括的に保護するアプローチであることに注意が必要です。
![[PRコミック] Web システムの本性～導入前に知っておくべき同時アクセス性能 画像](/imgs/p/WskKra9E7Ikkd0qzSpAbbW8JUgdCBQQDAgEA/7412.jpg)
＜ストーリー＞ 中堅食品会社 イード食品の情報システム部に所属する三谷学は、新しい経費精算システム開発の命を受ける。海外のソフトハウスに開発を全面委託することで、大幅な予算削減に成功したのだが…
クラウドがビジネスにもたらす価値とクラウドセキュリティの勘所について、アマゾン データ サービス ジャパン株式会社 代表取締役社長 長崎 忠雄氏と、トレンドマイクロ株式会社 取締役副社長 大三川 彰彦がディスカッションを行いました。
2014年4月にMicrosoftのサポートが終了することで最近何かと騒がしいWindows XPだけど、Googleは10月16日、WebブラウザーChromeについては少なくとも2015年4月まではXP向けのアップデートを提供すると発表したんにゃー。
IEのゼロデイ脆弱性を悪用した、新たな手口のサイバー攻撃が起こっていたそう。特定のユーザー層が集まるWebサイトに不正プログラムが埋め込まれた、水飲み場型攻撃といわれるものなんだにゃー。
10月2日に総務省が「官民連携による国民のマルウェア対策支援プロジェクト（ACTIVE）」を開始すると発表したんだにゃー。ISPやセキュリティ企業と連携して、ユーザーがマルウェア配布サイトへアクセスするのを未然に防止するための実証実験を行うんだにゃー。
サイボウズが国内商用クラウド初の脆弱性発見コンテスト「cybozu.com Security Challenge」を開催するんだって。賞金総額は300万円なんだにゃー。
Internet Explorerにゼロデイ脆弱性があることが発表されたんだにゃー。IE6～11に影響があり、その中でもIE8、9に関してはすでに標的型攻撃に悪用されていることがわかっているそうなんだにゃー。
ガーディアン紙などの報道によると、米英の秘密情報機関、米国家安全保障局（NSA）と英政府通信本部（GCHQ）がSSLなどインターネット上で使われている、さまざまな暗号の解読や無効化に成功していたんだにゃー。
9月4日には大阪市の職員が内部ネットワークへの不正アクセスを行ったとして逮捕されていたんだにゃー。管理職しか閲覧できない人事評価や採用・昇任試験の資料にアクセスした形跡があったんだにゃー。
大規模匿名掲示板サイト「２ちゃんねる」を便利に使うためのサービスツール、2ちゃんねるビューア（通称●（まる））を購入したユーザーのクレジットカード番号を含む3万件以上の個人情報が流出してしまったんだにゃー。
Facebookでは他人のウォールに誰でも許可なく書き込める脆弱性があったみたいなんだけど（現在は修正済み）その指摘方法が過激だったんだにゃー。セキュリティチームへの報告が無視されたから、ザッカーバーグのウォールに書き込んで指摘したんだにゃー。
8月12日にはサイバーエージェントの運営する「Ameba」のたくさんのアカウントがパスワード攻撃を受け、なんと24万件ものメールアドレスなどを含む個人情報が流出してしまったんだにゃー。
どこかから流出したIDとパスワードを使った攻撃が後を絶たないけど、今度はじゃらんnetが被害に遭って、2万8000人分の名前や住所、ホテルの予約履歴などが流出したみたいなんだにゃー。
DNSサーバーアプリケーションの「BIND 9」にDoS攻撃を受ける脆弱性が見つかったんだにゃー。リソースレコードのRDATA部分の取り扱いに問題があって、DNS問い合わせによって異常終了するんだにゃー。夏恒例のBINDの脆弱性なんだにゃー。
7月24日には大手ISP、OCNのIDサーバーに不正アクセスがあり、最大約400万のOCNのIDとして使うメールアドレスと、暗号化されたパスワードが流出した可能性があるんだって。今のところは被害は確認されてないんだにゃー。
7月16日にWebアプリケーションフレームワーク「Struts2」の脆弱性が公開されたんだにゃー。外部から任意のJavaコードが実行されるんだって。脆弱性を修正したバージョン2.3.15.1が公開されているので、早めにアップデートした方がいいと思うんだにゃー。
遠隔操作ウイルス事件に関連して、共同通信社と朝日新聞社の記者が「真犯人」と名乗る人物のメールサーバーに不正アクセスを行ったのが明らかになっていたけれど、結局起訴猶予ということでおとがめなしになったんだにゃー。
サイバー攻撃に関して言えば、事務所内だけでなく工場の制御システムを狙う攻撃も顕在化しており、経営リスクにもつながる深刻な問題として認識されはじめています。
マルウェア感染などを狙ったWebサイトの攻撃が7月になっても収まらないようで、新たにさまざまなサイトが改ざんされているよ。だからIPAが2度目の改ざんに対する注意を呼び掛けているんだにゃー。
脅威が深刻化する今、製品を入れるだけでなく、専門家のサポートを活用することで、セキュリティレベルを向上させることが、ますます重要になっているといえます。
遠隔操作ウイルス事件で「真犯人」を名乗った男がが犯行声明を送ったメールアカウントに不正アクセスしたとして、共同通信と朝日新聞社の記者合わせて5人が書類送検されたんだにゃー。
このところ勧誘電話にだまされて、遠隔操作でISPと契約されてしまうというトラブルが多発しているんだにゃー。
6月7日には去年開催されて好評だったセキュリティイベント「SECCON 2013」の開催が発表されたよ。所属や年齢を問わず、学生から社会人まで参加できる日本最大の「ハッカー大会」を目指すんだって。
この数日、日本の多数のWebサイトが改ざんされて、怪しいJavaScriptを埋めこまれているんだにゃー。改ざんのお詫びが出ているWebサイトだけで50以上もあるから、実際はその何倍も被害に遭っているんだろうにゃー。
海外渡航者向け通信機器レンタルサービスを提供するエクスコムグローバルがSQLインジェクション攻撃を受けて、10万件のクレジットカード情報を抜かれているんだにゃー。盗まれた情報は、カード名義人名、カード番号、有効期限、セキュリティコード、申込者の住所なんだって。
先週IDが2千200万件流出したことが明らかになったYahoo! Japanだけど、23日には、その中の149万件について、パスワードハッシュと秘密の質問も流出していたことが明らかになったんだにゃー。
マイクロソフトからは5月のセキュリティ情報とアップデートが公開されているよ。10件あって、そのうち深刻度が「緊急」なのは2件だって。「緊急」の１つはすでにたくさんのゼロデイ攻撃が確認されて、話題になっていたInternet Explorer 8に対する脆弱性の修正なんだにゃー。
IE8に外部からコードを実行される新たな脆弱性が見つかって、5月3日にMicrosoftからセキュリティアドバイザリーが公開されているよ。すでにアメリカの労働省のWebサイトなどに、この脆弱性を狙った攻撃コードが仕掛けられているんだにゃー。
ドコモの米国子会社であるNTT DOCOMO USA, Inc.のサーバーが不正アクセスを受けて、403件の、氏名、生年月日、住所、メールアドレス、クレジットカード番号と名義情報が流出したんだにゃー。
