クラウド環境の設定ミス…顧客情報約215万人分が10年近く公開状態に

クラウド環境が何だったかの詳細は不明ですが、過去にはAmazon S3や、データベースサーバー「MongoDB」が外部からアクセス可能だったことによる情報流出の事例があり、今回も同様のものと推測されます。

同業他社の本田技研工業で、2019年7月に分散処理型検索エンジン「Elasticsearch」のデータベースサーバーに設定ミスがあり、社内情報が外部からアクセス可能な状態にあったと発表されていましたが、このときにトヨタにおいても社内で同様の問題がなかったか点検していれば、より早期に発見・解決できていた可能性もあったとみられます。

Webサーバーと連携するデータベースソフトウェア等については、同じホストで稼働している場合は外部からアクセスされないよう、また別々のホストで稼働している場合も不特定多数からの直接アクセスを遮断するよう、ホスト自身やルーター・UTMのファイアウォール機能で適切なアクセス制限を設定することが肝要です。

これに加え、パスワード設定によるアクセス保護を行うことは不可欠ですし、不正アクセスの有無やアクセス元等の分析のため、アクセスログを確実に取得する設定を行うこともまた強く推奨致します。

「MW WP Form」は問合せフォーム作成のためのプラグイン、「Snow Monkey Forms」はその後継で、いずれも日本発のプラグインとして人気があります。

脆弱性にはいわゆる「ディレクトリトラバーサル」と言われるものが含まれており、Webアプリケーションが本来アクセスするディレクトリの外部にあるファイルの参照等が可能になる、古典的ながら危険度の高い脆弱性です。

WordPress本体にも、機能拡張のため提供される数多くのプラグインにもしばしば脆弱性が報告されており、最初にサイトを構築してから、本体およびプラグインをアップデートしないままにしているのは非常に危険なため、管理者において定期的に管理画面へのログインを行い、本体・プラグインおよびテーマにおいてアップデートがリリースされていないか確認し、それぞれを最新バージョンに保つこと、またセキュリティ機能を提供するプラグインを導入することが肝要です。