多要素認証
このタグの記事 9 件
レンタルサーバーが不正アクセスされたとき、利用者は何をすべきか
事業者側の管理環境が侵害される類型は、利用者の設定では防げない。第二報で対象は契約者の会員情報へ広がり、レンタルサーバー利用者に限らない話になった。だから守り方は『防ぐ』から『被害範囲を縮める』に切り替える。当サイトの視点＝共用サーバーに置いた情報は読まれた前提で設計し、認証・バックアップ・秘密の置き場所を事業者の外へ分散させる。2026年8月のさくらインターネットの公表内容は、確定情報と調査中の項目を分けて読むことが最も重要。
つるぎ町立半田病院 ランサムウェア事件（2021）— VPNの未パッチCVEとバックアップの落とし穴
侵入口は、外部公開のVPN装置の既知脆弱性（CVE-2018-13379）を未パッチで放置し、流出済みの認証情報が使えた点だと有識者会議報告書は指摘している。加えて、短いパスワード・アカウントロックなし・利用者が管理者権限という内部の弱さで横展開が容易だった。決定的だったのは、本番とバックアップが同一ネットワークにあり両方が暗号化されたこと——バックアップが『隔離・オフライン』でなければ、いざというとき復旧の頼りにならない。電子カルテ復旧まで約2か月。あなたの環境では、外部公開VPNの迅速な更新、流出認証情報の失効と使い回し廃止、そして3-2-1＋オフラインのバックアップで守る。
大阪急性期・総合医療センター ランサムウェア事件（2022）— 委託先VPNから侵入、医療のBCP
侵入口は病院本体ではなく、給食委託事業者のリモート保守用VPN機器の脆弱性放置と、流出済み認証情報の悪用だったと調査委員会報告書は指摘している。病院と委託先が常時接続していた構成、サーバ/PCで共通のパスワード、全ユーザーへの管理者権限、電子カルテ系のアンチウイルス未導入、ネットワーク分離不足が重なり、被害が電子カルテ全体に波及。外来・手術・救急が制限され、完全復旧まで2か月強を要した。あなたの環境では、委託先の接続を『自分の攻撃面』として扱い、外部公開VPNの更新、認証情報の使い回し廃止、最小権限、分離、そして医療BCP（紙運用と復旧訓練）で守る。
7pay 不正利用事件（2019）— 二段階認証なしの決済アプリはなぜ乗っ取られたか
公開翌日にはアカウント乗っ取りが始まり、約808人・約3,862万円の不正利用が発生。核心は認証設計の欠陥で、①二段階認証が無くID＋パスワードだけでログインでき、②パスワード再設定の新パスワードを『登録外のメールアドレス』にも送れたため、断片的な個人情報だけでアカウントを奪えた。あなたの環境では、重要な操作に二段階認証を必須化し、パスワード再設定は登録済みの経路のみに限定し、リスト型攻撃を想定した検知・ロックを備え、公開前に認証フローを第三者レビューして備える。
Coincheck NEM流出事件（2018）— 約580億円が盗まれた原因と、鍵管理の防御
入口は従業員を狙ったスピア型メール/マルウェアと報じられ、そこからホットウォレット（ネット接続）の秘密鍵が窃取され、約523百万XEM（当時約580億円）が一括で不正送金された。核心は、巨額をすぐ動かせる『熱い』状態でマルチシグ無しに置いていたこと＝単一の鍵漏洩で全額が動いた。あなたの環境では、重要な鍵・秘密をオフライン/専用金庫に寄せ、ホットは最小化、単一障害点を作らず、異常な大量操作を検知・停止できるようにして備える。
KADOKAWA・ニコニコ ランサムウェア事件（2024）— なぜ被害が全社に広がったか、ネットワーク分離と事業継続
侵入口は従業員を狙ったフィッシングで認証情報が盗まれたことと説明されている。そこから社内ネットに侵入されランサムウェアが実行され、ニコニコを含むグループの多くのサービスが長期停止し、約25万人分の個人情報が漏洩した。被害が全社に広がった背景としては、重要度の異なるシステムが同じネットワークに同居し、十分に『分離（セグメンテーション）』されていなかった点が報道・分析で指摘されている。あなたの環境では、ネットワークを重要度で分け、フィッシング耐性のある認証を用意し、事業継続(BCP)と復旧を備えることで守る。
宅ふぁいる便 情報漏洩事件（2019）— パスワード平文保管はなぜ致命的か、ハッシュ化の防御
サーバーの脆弱性を突かれて不正アクセスされ、退会済みの顧客を含む約481万件の氏名・メール・ログインパスワード・生年月日などが漏洩した。決定的だったのは、ログインパスワードが暗号化されず『平文』で保管されていたこと＝漏れた瞬間にそのまま悪用でき、使い回し先での二次被害（なりすまし）に直結した。あなたの環境では、パスワードを一方向ハッシュ＋ソルトで保管し、そもそも不要なデータを持たず、脆弱性を塞ぎ、使い回しに備えることで守る。
ベネッセ個人情報漏洩事件（2014）— 内部不正はなぜ止められなかったか、最小権限と委託先管理
業務委託先（グループ会社）の派遣システムエンジニアが、正規に与えられたデータベースのアクセス権を使って顧客情報を大量に抜き出し、私用スマートフォンへ転送して名簿業者に売却した。監視ソフトはUSBメモリーへの書き出しは防いでいたが、スマートフォンへの転送（MTP）は防げていなかった。最大約3,504万件が漏洩。あなたの組織では、権限を必要最小限にし、持ち出し経路を“全部”ふさぎ、大量アクセスを検知し、委託先・再委託先まで管理を届かせることで備える。
カプコン ランサムウェア事件（2020）— 旧型VPN装置はなぜ突かれたか、二重恐喝への防御
侵入口は、新型に置き換えたのに廃止されず北米子会社に残っていた『旧型の予備VPN装置』。そこから社内ネットに侵入され、データを窃取された後にランサムウェアで暗号化された（二重恐喝）。最大約39万人分の個人情報が漏洩の可能性（カード情報は含まず）。カプコンは支払いを拒否し、バックアップから復旧、透明に開示した。あなたの環境では、使わない機器を廃止し、境界機器をパッチし、窃取と暗号化の両面（セグメント化・検知・バックアップ）で備える。