00:03
皆さんこんにちは。 日本で唯一サイバーレジリエンスを社名にしたサイバーレジリエンス株式会社の須田です。
村瀬です。
よろしくお願いします。
じゃあですね、前回に引き続き、今回のお題も、七転び八起きです。
村瀬さんなんだっけ?
いやいや、だから前回の続きです。忘れちゃったんですか?
そういえばですね、さっきトイレに行ったんですけれども、何しにトイレに入ったのか忘れちゃってですね、思い出せなかったんですよ。
それそもそも別の事件で病院に行った方がいいと思いますけどね。
いやいや、思い出しました。
サイバーセキュリティというのは、サイバー攻撃で転ばされてしまってもすぐに立ち上がる。だから七転び八起きだったらしいです。
そうなんですよ。そもそもサイバーセキュリティよりも視野を広く取ったものが、うちの社名であるサイバーレジリエンスなんです。
はい。そしてその第一歩が?
第一歩が前回ありました、情報資産の洗い出しでしたね。
そうですね。普通それは会計の台帳を見ればいいって話になるんですけれども、載っていないものは大量に実はある。
で、その検知をするのはまず一層でやった方がいいんですね。なぜかというと裏でいろいろ攻撃していたり、莫大なお金を請求されかねないことが裏で起きているってことがあるので、まずそれを調べた方がいいっていう話を申し上げました。
そうですね。この話が前回お預けになっていた話でございます。
それで例えばですね、もうちょっと別の話を申し上げると、会社のネットとかPCとかの資産を使って勝手なことをやっているっていうのを調べるとわかる場合があるんですね。
どういうふうにですか?
例えばですね、著作権法違反でネットに公開している映画とかアダルトものとか漫画とかを会社でダウンロードしまくっているっていうね。
隠れてダウンロードしているってことですよね?
そうです。
それってわかるんですか?
わかる場合が結構あります。
実際に会社の方に高額な請求が来るっていうことが数百万台で来ることがあります。
会社に請求来ちゃうんですか?
そうなんですよ。会社に向こうも請求するしかないんですよね。
会社の中のどこのPCかっていうのはなかなかわかりにくいので、お宅の会社のネットワークからうちの漫画をこんなにダウンロードしてますよということになる。
怖い。それって会社からしたらちゃんと真面目に仕事してるなって思ってた従業員が会社のネットの方が強いからせっせとアダルトビデオを不正にダウンロードしてたってことですよ。
そうなります。
怖い。
いろいろ調べたことがあるんですけれども、結構いますね。
えー結構?
いますいますいます。
これはまあいわゆる大きなレピュテーションリスク、会社の評判を落とすということになるんですよね。
これを会社の資産台帳には載ってこない話ですよね。
03:03
そうなんですよ。それも調べなきゃいけなくて、あとですねもっと怖い話があるんで、もう一つ申し上げるとこれドメインの話を申し上げたい。
ドメイン?
ドメイン。
と言いますと?
具体的に言いますとね、つい最近マカフィーというね、ご存知ですよね。
昔で言うとこのワクチンソフトの会社ですけれども、ドメインを使っていたんだけれども、機嫌切れになったら放置しちゃったんですよ。
はいはい。
そしてふと見たらそのドメインが誰かに取られて、パパカツのサイトになっていたという。
パパカツ?
そう。
怖いんですけどマカフィー先生がパパカツしてるみたいな。
そう、そう見えちゃうんですよね。
はいはいはい。
あるいはですね、アトレってご存知ですよね。
アトレ知ってます。よく行きます。
JR系のエキビルとかありますね。
それもですね、カードがアトレカードというものからJREポイントカードというカードを買ったんですよ。
その時にそのアトレというドメインを放置しちゃったんですよ。
だけどみんなに配ったカードの裏側にアトレのドメインのQRコードが印刷されてみんなの手元にあるわけですよ。
ああ。
で、それを読み込んでいくとちょっとヤバいサイトに飛んでいくということにあったんですよね。
すごい怖いんですけど、そんなことをあんな大々的な有名な会社がやるとは思えないですよね。
でも現実にそういうことが起きちゃったんですよ。
会社がセキュリティ体制をしっかりとってなかったってことですよね。
そうですね。セキュリティ体制とか自在に関する知識がなさすぎたってことですね。
でも使われてなかったドメインを取ることは別に違法じゃないってことですか?
全然。むしろそういう中古ドメインはドメインとしての価値が高いからいかがですかって結構売ってます。
ドメイン買いませんか?みたいなメールとかもたまにメールで見かけたりします?
はい。十分価値を上げてくれたらいいのがありますよと。
あれがよくあるのはですね、選挙。
議員が自分の名前のドメインを取ってやるんだけど落選しちゃった後それを放置したりするとアダルトサイトになってましたとかね。
ありそう。でも今の話聞いてるとそういうことってあるんだろうなって思ったんですけど。
売られた先がアダルトサイトだったりいかがわしい会社にやられてしまうと本当に怖いですよね。
そうなんですよ。
違法性ないと言えども怖いですよね。
なのでそういうことをちゃんと考えてる会社っていうのは一回取ったドメインはずっと持ってるしつかなくてもね。
あるいは類似ドメインっていうのを最初から取っておくっていうのがあります。
類似ドメイン、似てるようなドメインを最初からこういうリスク、今みたいな話をしたリスクを鑑みて先に買い取るってことですか?
06:00
そうですね。ちょっと機嫌切れとは違う話なんですけれども。
例えば具体的に言うと有名ブランド、ルイ・ビトンとか。
打ち間違えてルイ・トンビとかっていう風に打つ人もいるわけですよ。
なるほど。
今ちょっとめちゃくちゃ言ってますけど、ルイ・トンビJPってのも取ってくるんですよ、事前にね。
そういうことをやりまくってるちゃんとした会社もあります。
へー、そうだった。すごいですね。ちょっとそれは驚き。確かにあり得るなと思います。
あとはですね、よくある誤解なんですけれども、そういうドメイン面っていうのは誰にも教えなければわからないと。
普通思いますよね。
思います。
どっからもリンクしてなければGoogleにも載ってこないし。
で、社員専用のウェブサイトを作ったりするわけですよ。
うん、作れちゃいますよね。
知らなければ絶対誰も来るわけないと。
でもSSLってご存知ですよね。
はい、新宿にあるあれじゃないですよね。
全然違います。
はい、わかりました。すいません。失礼しました。SSLですね。
はい。
ブラウザの上にURL、ドメイン面が出てますね。その最初にhttpってありますけれども、httpsっていうやつですね。
これをやって、セキュリティの強度を上げようっていう話をやった瞬間にですね、裏口がバレるんですよね。
あー、結構httpのドメインはまだ見かけます。
うん。Sにしなきゃと思って、ブラウザは結構最近企業が出すものですから、しなきゃと思ってするんですけれども、
もうちょっと言うとですね、Sにしてセキュアにすると何が起きるかというと、サーバーの証明書が出てくるわけですね。
並びに仕込まれるわけですね。
でも、証明書をPCユーザー、普通のユーザーのブラウザが見てですね、本物かどうかってどうやって検証するんですかっていう話。
あー、なるほど。検証できないんですよね。
そう、証明書自体は来たところで、全部嘘かもしれないじゃないですか。俺だ俺だって言ったのが嘘ですよね。
そうですそうですそうです。
だから、サーバーの証明書が来たときに、来たといってもブラウザが裏でやるんですけれども、その証明書が本当かどうかっていうのをあるところに紹介するわけですね。
その紹介先には当然その情報があるわけだから、だから紹介できるんですよね。
そうですね。
わかりますわかります。
だから最初からその紹介先を調べていくと、その会社の持っているSSLのドメインがズラッと出てるんで。
そっか、隠してるサイトのドメインまでわかっちゃう?
そう。
あー。
そうなんです。
怖い。
社内専用のウェブサイトまでもわかっちゃうしっていうところですね。
あー。
そこを調べていくと、社員専用の入り口がポンと出てくるわけですね。
へー。
でもそんなことってみんな知らないじゃないですか。
ほとんど知らないですよね、みんなね。
考えてみると、普通の人間同士も身分証明書を見せられても、それがそもそも本物か偽物かなんて確認しなくて、それは本物だという前提でいますよね。
09:10
そうですね。
だから、特に我々の文化というか価値観、日本人の文化とかっていうのは性善説で結構物事を判断するので、騙す気で来てる人たちを見破るって難しいですよね。
いや、もうその通りですよ。お知らせの通り。
ラセさん、目の前にいる私も私ではないかもしれないですよ。
マジですよ、それ怖いですね。
怖がってます?
いや、ちょっと焦ってきました。
そういえばですね、もう時間になっちゃうので話も取りますけど、村瀬さん、収録前にトイレに行って何をするのか思い出しましたか?
思い出しました。やることは一個です。
では今日はこれくらいにしましょう。ありがとうございました。
ありがとうございました。
