コマンドインジェクション脆弱性を悪用した不正アクセス攻撃により約35万件の個人情報が流出の可能性(エイベックス) | ScanNetSecurity
2019.12.09(月)

コマンドインジェクション脆弱性を悪用した不正アクセス攻撃により約35万件の個人情報が流出の可能性(エイベックス)

 4月下旬から、大規模な個人情報流出が相次いでいる。4月21日に、日本テレビ放送網から、約43万件の個人情報が流出。さらに、J-WAVEからも、約64万件の個人情報が流出した。そして、エイベックスでも同様の被害が発生していることが発表された。

インシデント・事故 インシデント・情報漏えい
「エイベックス・グループ・ホールディングス」サイトトップページ
「エイベックス・グループ・ホールディングス」サイトトップページ 全 2 枚 拡大写真
 4月下旬から、大規模な個人情報流出が相次いでいる。4月21日に、日本テレビ放送網から、約43万件の個人情報が流出。さらに、J-WAVEからも、約64万件の個人情報が流出した。そして、エイベックスでも同様の被害が発生していることが発表された。

 エイベックス・グループ・ホールディングスの発表によると、同社のアーティスト公式サイトに対する不正アクセス攻撃があり、キャンペーンの応募者データなどの個人情報(名前、住所、メールアドレス、電話番号、他)約35万件が流出した可能性があることが、判明したという。同社では土日祝日も、問い合わせに対応するとしている。

 いままでの手口同様に、アーティスト公式サイトで使用しているソフトウェアの「コマンドインジェクション脆弱性」を悪用したものだった。コマンドインジェクションとは、たとえば、サイトに設置されている登録フォームなどで、本来なら「住所」や「名前」を入力する欄に、「rm -rf~」(サーバーのファイル全削除)など、直接OSコマンドを入力してしまうという、原始的な攻撃方法だ。脆弱性が残っているソフトを使っている場合、これらのコマンドが外部から実行されてしまう可能性がある。

 今回あいついで発生している被害は、いずれもサイトで利用しているブログツールやフォームツールの実装に問題があり、そこを突かれたと考えられる。ただ、こうした脆弱性はどういったサイトでも残っている可能性があり、今回、外部犯罪者の間で、コマンドインジェクションをターゲットにした攻撃が“流行”しているため、被害が連続したと思われる。そのため、まだしばらく、こうした大規模被害が発生する可能性はある。利用者が多いサイトは、ソフトのバージョンアップ、見直しを進めるべきだろう。

日テレに続きエイベックスも個人情報流出、大規模被害が連続中

《赤坂薫@RBB TODAY》

関連記事

この記事の写真

/
PageTop

特集

アクセスランキング

  1. 業務を受託している2病院から患者情報を紙資料で持ち出し(インテック)

    業務を受託している2病院から患者情報を紙資料で持ち出し(インテック)

  2. 3割のフィッシング詐欺サイトがHTTPS、教育,暗号通貨,ストリーミングジャンルが上位(ウェブルート)

    3割のフィッシング詐欺サイトがHTTPS、教育,暗号通貨,ストリーミングジャンルが上位(ウェブルート)

  3. 脅威インテリジェンスの一部機能を無償提供、ファイルやURLを分析可能(カスペルスキー)

    脅威インテリジェンスの一部機能を無償提供、ファイルやURLを分析可能(カスペルスキー)

  4. マルウェア「Emotet」の感染被害が急増、対処法や対策など紹介(ラック)

    マルウェア「Emotet」の感染被害が急増、対処法や対策など紹介(ラック)

  5. PCI DSSの要件となる脆弱性スキャンとペネトレーションテストを2日間で学ぶ(fjコンサルティング)

    PCI DSSの要件となる脆弱性スキャンとペネトレーションテストを2日間で学ぶ(fjコンサルティング)PR

  6. 不正アクセスで一時閉鎖していたWebサイトを再開(JP共済生協)

    不正アクセスで一時閉鎖していたWebサイトを再開(JP共済生協)

  7. メールアカウントへの不正アクセス、送受信したメールデータが流出の可能性(RIZAPグループ)

    メールアカウントへの不正アクセス、送受信したメールデータが流出の可能性(RIZAPグループ)

  8. 「大阪市報道発表資料」の誤送信でアドレス流出、チェック表での確認を徹底し再発防止に努める(大阪市)

    「大阪市報道発表資料」の誤送信でアドレス流出、チェック表での確認を徹底し再発防止に努める(大阪市)

  9. 「LanScope Cat / An」に任意コード実行の脆弱性(MOTEX、JVN)

    「LanScope Cat / An」に任意コード実行の脆弱性(MOTEX、JVN)

  10. 不正アクセスで10ヶ月分の決済情報が流出、カード不正利用の可能性も(モーターマガジン社)

    不正アクセスで10ヶ月分の決済情報が流出、カード不正利用の可能性も(モーターマガジン社)

ランキングをもっと見る