特別寄稿「ソニーの情報漏えい事件で我々は何を学ぶか」 (4) 情報開示や対策が的確だったのかを考察

4．情報開示や対策が的確だったのかを考察

今回の場合、4月19日に気が付き、22日にFBIに情報提供、26日に告知し、翌5月1日に日本においても記者説明となっています。気が付いて1週間も経過して告知が遅いと言っている方々もいます。私の経験では、遅い行動だとは思いません。これまでの日本の事例を思い出して頂きたいのですが、その多くが、気が付いて1カ月程度、場合によってはまだ長い月数がかかっています。深刻な事件ほど多くの時間を必要としています。例えば、恐喝されていた場合、犯人を特定するまで公表できないこともあるでしょうし、クレジットカードの場合、カード会社との調整も必要だと思います。

ただ、反省点としては気が付いた段階で、少なくとも気が付いたことだけでも告知してよかったかもしれません。しかし、まだ、なにも判明してない時点で告知すること自体が大きなリスクとなり得ます。特に日本の場合は、利用者に何をすればよいか具体的に伝える必要もあり、告知においては慎重になりがちです。

対策に関してはどうでしょうか。現段階で公開されている情報だけでは何とも言えませんが、当社で対応した情報流出事件で、パスワードのハッシュ値が流出した事件というのは記憶にありません。ほとんどは平文のまま流出しています。今回はパスワードが流出したと報道されていますが、正確にはパスワードのハッシュ値が流出したとなっています。よって犯人もそのまま使用することができません。

※執筆者註：ハッシュ値からパスワードそのもの得るには、推測したパスワードからハッシュ値を生成し盗んだものと付き合わせるか、予め計算しているハッシュ値のデータベース（レインボーテーブル）と付き合わせるかのどちらかです。現在、8桁程度のパスワードのハッシュ値は全て予め計算されていますので、それ以上の強度（出来れば15桁程度）のあるパスワードを使用していれば、現状では問題になることはありません。また、これらのパスワードの漏えい対策のひとつとして、システムの環境にもよるが、Salt（Hash化の際にパスワードと共に与えられる文字列）を付加するなどがある。

また、クレジットカードも暗号化していると報道されています。暗号化の管理方法によっては解かれる可能性も否定はできませんが、当社で事件対応した案件でカードデータが暗号化されていた例は皆無です。さらに、情報流出をどうやって気が付いたかということですが、当社での経験の大半は外部からの指摘により気が付いています。今回は（犯人が意図的に気付かせたのかもしれませんが）自分たちで気が付いています。これは、実は大きな違いなのです。

今回流出したと言われているデータが悪用されることはあるでしょうか。私は、可能性は限りなく低いと思っています。C-type（ネット市民運動）の犯行であれば金銭目的ではないからです。また、今回FBIに相談しており、彼らがどこまで本気かはわかりませんが、犯人が売却や悪用などに動けば足がつくため、下手に動けない背景もあると思います。

　※編集部註　ハッカー5類型一覧
　A-type：パイオニア
　B-Type：開発者
　C-type：ネット市民運動
　D-type：犯罪者
　E-type：セキュリティ関係者
　詳しくは連載(1)参照

この事件は基本的にすべて米国で発生しており対応も米国で行っているように思います。また、対応方法は良かったか悪かったかはみんなの評価はあると思いますが、1月以降一貫として法的手段で対応しています。明らかに、そういう対応することを経営で判断し動いていることだと思います。徹底的に戦うことを選択したのですから、今回の事件も予見の範囲なのかもしれませんし、もう少しハッカーと対話をすべきだったのかもしれませんし、攻撃の予見に関して証拠を押さえる努力が足りなかったかもしれませんが、毅然とした対応は評価されるべきだと思います。（つづく）

（株式会社ラック最高技術責任者西本逸郎）

※本稿は2011年5月17日に公表されたレポートに執筆者が一部加筆を行った

【関連リンク】
特別寄稿「ソニーの情報漏えい事件で我々は何を学ぶか」 (1) 事件の背景にある様々なハッカーの存在
http://scan.netsecurity.ne.jp/archives/51981695.html
特別寄稿「ソニーの情報漏えい事件で我々は何を学ぶか」 (2) 金銭目的ではない犯行、犯行動機の脅威と変化
http://scan.netsecurity.ne.jp/archives/51981701.html
特別寄稿「ソニーの情報漏えい事件で我々は何を学ぶか」 (3) 「閉鎖環境だから安全」に疑問符がつく、攻撃手法の考察
http://scan.netsecurity.ne.jp/archives/51981958.html
特別寄稿「ソニーの情報漏えい事件で我々は何を学ぶか」 (4) 情報開示や対策が的確だったのかを考察
http://scan.netsecurity.ne.jp/archives/51981961.html
特別寄稿「ソニーの情報漏えい事件で我々は何を学ぶか」 (5) そろそろ発想を変えた対策を考えよう
http://scan.netsecurity.ne.jp/archives/51981965.html

株式会社ラック
http://www.lac.co.jp/
情報流出緊急対策セミナー流出背景と企業が今すぐ実施すべき対策（株式会社ラック）
http://www.lac.co.jp/event/20110602.html
西本逸郎氏 Twitter 公式アカウント
https://twitter.com/dry2
対談：サイバーセキュリティ探偵とサイバーミステリー作家第1回「企業の生命は事業継続」
http://scan.netsecurity.ne.jp/archives/51947983.html
対談：サイバーセキュリティ探偵とサイバーミステリー作家第2回「内部犯行の犯人特定」
http://scan.netsecurity.ne.jp/archives/51947984.html