地方議会の情報システムにサイバー攻撃

運営業者からの発表では、4月11日にID・パスワードの総当たり攻撃が確認され、一部のサーバーへ侵入されたとのことですが、同14日には対策を完了、一時停止したサービスは順次再開しており、他のサービスへの影響はみられなかったとしています。

サービスの不正アクセスにより、利用している多数の組織に影響が出た事例としては、2021年に発生した富士通製プロジェクト情報管理ツール「ProjectWEB」への不正アクセスが挙げられ、このときは129のユーザー組織が内部情報・個人情報流出の被害を受けました。

アカウント情報の総当たり攻撃はきわめて古典的な攻撃ながら、脆弱なパスワードが設定されたアカウントや攻撃への十分な対策を行っていないシステムでは現実的に侵入に繋がる恐れが強く、また企業WebサイトでWordPress等を使っている場合ログイン画面がどこにあるかも容易に推測可能な場合があるため、推測されにくい強力なパスワードを設定することはもちろん、特定IPアドレスからの不自然に多数のアクセス試行が行われた場合に遮断する、あるいは可能であれば多要素認証(MFA)を要求する等、ログイン機構を防御する各種機能を導入することが肝要です。

「To:」「Cc:」ヘッダーに誤ってメールアドレスが記入されることによる流出の事例を度々取り上げ、人間のチェックだけではなくシステム面での解決を呼び掛けていましたが、今回はシステム提供者側での運用上の見落としでシステムが適切に稼働せず、ユーザーの情報漏洩に繋がるというまた別の問題が発生しています。

近しい事例として、2022年9月には、顧客の個人情報を保存していたサーバーの契約終了時にデータを移行し忘れたため、個人情報が削除されたという事象が発表されています。

運営業者では、ライセンス有効期限の管理と期限に関するアラートの導入およびテストメール送信による稼働状態の確認を行うとしており、多重の対策によるトラブルの防止の余地がないかは適宜考慮すべきでしょう。

一方の豊田市でも「To:」「Cc:」ではなく「Bcc:」にアドレスを入力するよう徹底することを防止策に挙げていますが、メーラーにチェック用のアドオンを導入する、あるいはメーラーを使わない配信システムを構築する、等も是非とも検討してほしいところです。