有名事故・脆弱性
Capital One・Equifax・Log4Shell・Heartbleed・XZ。公開された大きな事故と脆弱性を「原因・影響・初動・再発防止」で分解し、いま効く教訓だけを取り出す。
事故の経緯と対策を読む
組織名・製品名・キーワードから、公開記録をもとにした解説へ。
最近の事故・脆弱性を探す
新しい公表やCVEの案内は「事故・脆弱性」へ。
解説記事を探す
記事名・説明をページ内で絞り込みます。検索語はURLに残しません。
全15記事 · 表示の日付は記事の公開日です
- 重大
つるぎ町立半田病院 ランサムウェア事件（2021）— VPNの未パッチCVEと、本番と一緒に暗号化されたバックアップ
侵入口は、外部公開のVPN装置の既知脆弱性（CVE-2018-13379）を未パッチで放置し、流出済みの認証情報が使えた点だと有識者会議報告書は指摘している。加えて、短いパスワード・アカウントロックなし・利用者が管理者権限という内部の弱さで、院内の他の端末…
記事公開 経緯・対策を読む - 重大
大阪急性期・総合医療センター ランサムウェア事件（2022）— 委託先VPNから侵入、医療のBCP
侵入口は病院本体ではなく、給食委託事業者のリモート保守用VPN機器の脆弱性放置と、流出済み認証情報の悪用だったと調査委員会報告書は指摘している。病院と委託先が常時接続していた構成、サーバ/PCで共通のパスワード、全ユーザーへの管理者権限、電子カル…
記事公開 経緯・対策を読む - 高
7pay 不正利用事件（2019）：公式発表で分かる原因と認証の対策
7payは2019年7月に不正アクセス被害を受け、9月末に終了した。8月1日の公式発表では、7月31日17時時点で808人・38,615,473円の被害を認定し、リスト型アカウントハッキングの可能性が高いと説明。一方、再設定等が直接原因になった事例はその時点で見つかって…
記事公開 経緯・対策を読む - 重大
ベネッセ個人情報漏洩事件（2014）— 内部不正はなぜ止められなかったか、最小権限と委託先管理
業務委託先（グループ会社）の派遣システムエンジニアが、正規に与えられたデータベースのアクセス権を使って顧客情報を大量に抜き出し、私用スマートフォンへ転送して名簿業者に売却した。監視ソフトはUSBメモリーへの書き出しは防いでいたが、スマートフォ…
記事公開 経緯・対策を読む - 高
カプコン ランサムウェア事件（2020）— 旧型VPN装置はなぜ突かれたか、二重恐喝への防御
侵入口は、新型に置き換えたのに廃止されず北米子会社に残っていた『旧型の予備VPN装置』。そこから社内ネットに侵入され、データを窃取された後にランサムウェアで暗号化された（二重恐喝）。最大約39万人分の個人情報が漏洩の可能性（カード情報は含まず）…
記事公開 経緯・対策を読む - 重大
Coincheck NEM流出事件（2018）— 約580億円が盗まれた原因と、鍵管理の防御
侵入のきっかけは従業員を狙ったスピア型メール/マルウェアと報じられ、そこからホットウォレット（ネット接続）の秘密鍵が窃取され、約523百万XEM（当時約580億円）が一括で不正送金された。核心は、巨額をすぐ動かせるネット接続の状態でマルチシグ無しに置…
記事公開 経緯・対策を読む - 重大
KADOKAWA・ニコニコ ランサムウェア事件（2024）— なぜ被害が全社に広がったか、ネットワーク分離と事業継続
侵入口は従業員を狙ったフィッシングで認証情報が盗まれたことと説明されている。そこから社内ネットに侵入されランサムウェアが実行され、ニコニコを含むグループの多くのサービスが長期停止し、約25万人分の個人情報が漏洩した。被害が全社に広がった背景と…
記事公開 経緯・対策を読む - 高
宅ふぁいる便 情報漏洩事件（2019）— パスワード平文保管はなぜ致命的か、ハッシュ化の防御
サーバーの脆弱性を突かれて不正アクセスされ、退会済みの顧客を含む約481万件の氏名・メール・ログインパスワード・生年月日などが漏洩した。決定的だったのは、ログインパスワードが暗号化されず『平文』で保管されていたこと。そのため漏れた瞬間にそのま…
記事公開 経緯・対策を読む - 重大CVSS9.8
MOVEit 大規模情報漏えい（2023）— SQLインジェクションのゼロデイが2,700社超に波及した原因と防御
入口はインターネット公開のファイル転送製品MOVEit TransferのSQLインジェクションのゼロデイ（CVE-2023-34362）。Web shell（LEMURLOOT）が仕込まれ背後のDBからデータが一括窃取され、2,700社超・約9,330万人分が流出。多くの被害者は委託先・取引先がMOVE…
記事公開 経緯・対策を読む - 重大
Capital One 情報漏えい事件（2019）— SSRFから1億人分が漏れた原因と防御
起点はたった1つのSSRF。そこからメタデータ提供先→過剰権限のIAM一時鍵→S3一括コピーへと連鎖し、約1億600万人分が漏えい。各段階で止められた。あなたの環境ではIMDSv2・IAM最小権限・送信先の許可リストで再発防止する。
記事公開 経緯・対策を読む - 重大
Codecov 改ざん事件（2021）— CIで使う外部ツールが改ざんされ、秘密情報が流出した原因と防御
原因は『CIで信頼して実行するツール（curl|bashのBash Uploader）が上流で改ざんされた』こと。自分のコードは無傷なので約2か月気づけず、CIの秘密情報が流出。検知はチェックサム照合だった。あなたのCIでは取得物の完全性検証・秘密の最小権限・ローテー…
記事公開 経緯・対策を読む - 重大CVSS9.8
Equifax 情報漏えい事件（2017）— 未パッチのApache Strutsで1.47億人が漏れた原因と防御
原因は『修正パッチが出ていた既知CVE（CVSS 9.8）を公開システムに当てなかった』こと。監視装置の証明書失効で76日間も持ち出しに気づけず被害が拡大。あなたの環境では資産の棚卸し・パッチSLA・機械監視・検知の健全性で再発防止する。
記事公開 経緯・対策を読む Heartbleed（CVE-2014-0160）— OpenSSLの不具合でサーバーのメモリ内容が漏れた事件
OpenSSLのメモリ過読み取りで、秘密鍵やセッションまで漏れうる事件。要求した長さより多くメモリを返してしまう実装ミスが原因。教訓は『漏れた前提で動く＝証明書再発行・鍵と秘密の総入れ替え』と、基盤となるソフトウェアの監視・メモリ安全性の価値。
記事公開 経緯・対策を読むLog4Shell（CVE-2021-44228）— ログ出力ライブラリの脆弱性と、使っているかすぐに確認できなかった理由
Log4jの脆弱性(CVSS 10.0)。核心は『間接的な依存（推移的依存）で、知らないうちに使っている』ことの危険。ログ出力という受け身の処理が攻撃経路になった。SBOMと依存の機械監視、迅速なパッチ、追随CVEの追跡が教訓。
記事公開 経緯・対策を読むXZ Utils バックドア（CVE-2024-3094）— 信頼を得た共同維持者が仕込んだサプライチェーン攻撃
圧縮ライブラリxzに、信頼を得た維持者がバックドアを仕込んだサプライチェーン攻撃。安定版到達寸前で一技術者の『遅い』という違和感が食い止めた。コードでなく『人と信頼』が狙われた。依存の最小化・版固定・再現性・違和感の追跡・維持者支援が教訓。
記事公開 経緯・対策を読む