昔からあるが知られていない形式での攻撃が来ているようです
お疲れ様です、情報システム部の細谷です。 はい、今まではなんちゃって情シスでしたが、正式に部署として立ち上がりました。 専門知識を持つマネージャーの方も来ていただきました、更にセキュリティを突っついていますが、、、 さっそく先週の記事についてメッタメタにされました。。。文字認識サービスってもうかなりの制度で認識できるんですね。 やはりなんちゃってでは、まだまだだと実感しました。 こちらは来週に追加調査の記事を上げさせていただきます。 本日は新規にiqy形式のファイルでの攻撃が来ているようです。 iqyファイルとは何でしょうか？ これはExcelの種類の一つで「Internet QuerY」の略で「ネット上からデータを取得するクエリ」が含まれているExcelファイルになります。 、、、何のことが分からないですね。 簡単に言うとWebサイト上の表を取ってきてExcelファイルにしてくれる。と認識しておいてください。 調査機関などの情報を取得するようにしておけば便利ですね。 さて、この「外部のデータを」という部分が攻撃に使われているようです。 外部のデータとしてマルウェアのインストーラーを引っ張ってくるように設定されているファイルを添付したメールが今大量に送信されているようです。 文面は「お世話になっております、請求書をお送りしますのでご確認ください」等のあたりさわりのない文面で送って来ますが、「メール内に不審なリンクはない」「添付ファイル自体に不正なプログラムは無い」という事でセキュリティソフトを潜り抜けてくるようです。 ただし、先ほどのインストールさせるファイルにアクセスするというのはiqyでは、禁止行為に当たる為、「警告」を出してくれるそうです。 また外部ツールからインストーラーが起動するため、更にWindows側でも警告が出てくるようです。 つまり2回警告が出てくるため、この時点で「無効にする」という選択を行うと、マルウェアのインストールは防げるようです。 「詳細がないメール(目視)」「Excelの警告」「OSの警告」という3段階の壁がある為、このいずれかで気が付けるかと思います。 ニュースでは話題になっていますが、余程油断していない限りは引っかかる可能性は低いと思います。 今のところ私の方には届いておりませんが、今後亜種などのも出てくる可能性が高いため警戒は強めていきたいと思います。 さて、お盆の時期ですが皆様のところは夏休みは取られるのでしょうか、ピアラでも夏休みがあり、14日まで公休となっています。 私はの方はせっかくなので、父方の方だけでなく母方の方のお墓参りも行こうかなと考えています。 それでは本日はこの辺りで失礼いたします、皆様もよき週末を。
名刺のセキュリティについて
こんばんは、システムの何とか袋の細谷です。 今回はついに戻るよーと思いましたが最初に提示した項目もあと一つだったんですね。 それでは名刺のセキュリティについてですがまずは前提として【名刺は個人情報の塊】というのを再度認識してください。 名刺にはかなりの情報が記載されています。 会社によってフォーマットに差異がありますが、少なくとも「社名」「所属」「お名前」「連絡先(メールまたは電話、もしくはその両方)」が載っています。 つまり名刺一つでその人にたどり着く事ができますね。 打ち合わせなどでサクサク渡されて手元に大量に残るので、雑に扱いやすいですが、名刺をしまっているファイルをなくすというのは「パスワードをつけていない携帯電話を落とす」というのと同じぐらいの事態と覚えておいてください。 それでは、対応についてですが ●無くさない 名刺はほぼすべてカードと同じくらいの大きさのため簡単に落ちたり風で飛ばされたりしますが、「落としちゃったけれどまあいいかー」ではありません、その時点で「情報漏洩」です。 見つかったとしても「その間に誰かに記録された」可能性もあるので、名刺入れなどに保管し、事務所に戻ったらファイルなどに移しておきましょう。 処分する場合はゴミ箱にそのまま捨てず、必ずシュレッダーにかけましょう。 ●目を離さない 名刺を外に出す場合は常に目の届くところに置き目を離さないようにしましょう、そして用事が済んだらすぐにしまいましょう。 小さな紙なので、ポンと置いてあったら盗むのはとても簡単です。 ●把握する 事務所に保管していても安心とはいきません、何らかの方法で侵入され、盗まれる可能性があります。 自分の保有している枚数を確認し、欠けていないか定期的にチェックしましょう。 以上、、、ってほとんど人力ですね。。。 これでは「システムのセキュリティ」とは言いにくいですが、名刺となるとなかなかに厳しいものがあります。 「データ化した名刺」は、データを受け取る端末が必要です。携帯でいいじゃんと思われるかもしれませんが、「受け取るアプリ」が問題になります。 名刺を送る為に相手にも同じ環境を用意してもらう必要があります。「○○のアプリをダウンロードしてください」等とアナウンスは難しいですし、相手はそれきりそのアプリは使わないかもしれません。システムは異なる環境への対応が難しい欠点です。（ちなみにリアルも同じですが、環境の統一が既に済んでいるので問題視されていないというのが正しいです。） なら「紙の名刺をデータ化」しましょう、、、これも大変ですね。 データ化するというのはそれだけのデータを打ち込まなければいけません「CSVで流し込めば、、、」と思うでしょうか、その「CSV」を用意するにはやはり人の手が必要になります。 営業の方は多いときは100枚以上交換すると聞いていますので、毎日100人分のデータを打つとなると、、、考えたくはないですね スキャンするという方法もありますが、「文字のフォント」というのがあり、フォントは誰でも自由に作れます、 なのでシステムで読み込むならどうしても誤字が出てくるので、人の目による修正が必要です、場合によっては全部書き直しという事もあるでしょう。。 ここまでで「なんで、文字にする必要があるんだ？」と思われるかもしれませんね、たしかに「画像」のままでいいならすごく簡単です。。。「登録」は、、、 名刺は連絡先が載っているので、相手に連絡をする際に使用します。「画像」では検索はできないので、連絡先を見つけるために、膨大な「画像データ」から目視で探す必要があります。 ナンバーで検索という方法もありますが、管理表が必要なので、結局人の手で打ち込みます、画像ファイル名を変更するにも「人の手で名前一枚一枚全部つける」必要があります。 システムで対応するにしても、神の名刺を使うなら必ず「人の手」が関わりますし、電子化する場合は相手も「同じ」である必要があり相手に合わせるなら「人の手」がどうしても、、とどうにもこうにもという状況なのが「名刺」というものです。 なのでセキュリティとしては「名刺の管理は気を付けよう」と言うしか今は無いのが現状です。 ピアラも名刺管理ツールを導入していますが、「スキャンしたデータはサービス提供会社の人が手作業で入力している」と聞いてなんだか納得してしまった記憶があります。 ただ、どうしようもないというよりは「考え方」の問題なので、公衆電話から「携帯電話」に変わったように、いつか自然と「名刺はデータ」に変わるのかもしれません。(そのころには名刺というもの自体が無くなる可能性もありますが。) […]
通販企業様必見！『組織改革で通販の売上UP！話題の識学とは？』無料セミナー開催
このたび、組織改革で注目を浴びている株式会社識学と共に、 『組織改革で通販の売上UP！話題の識学とは？』セミナーを開催させて頂きます！ 通販会社特有の悩みをお持ちの方必見です！ 人の意識構造を研究した学問「意識構造学」をベースにした、 組織マネジメント理論「識学」を使った組織運用のノウハウから、実際に識学を活用している株式会社ビーボの武川克己社長をお招きして、 通販企業特有の悩みと、識学導入後の変化にスポットを当てたトークセッション、 通販企業様必見のPIALAの成果報酬サービスを紹介いたします。 株式会社 識学…人の意識構造を研究した学問「意識構造学」をベースにした、 組織マネジメント理論「識学」を使ったコンサルティングで、企業の組織改革を支援。 こんなお悩みありませんか？ ★部署が分かれ過ぎていて「誰が責任者なのか分からない」 ★会社の方向性は同じなのに「他部署がライバル」のような関係になる ★感覚が重要な製品開発は「目標設定がしにくい」 ★「言われたことしかできない」部下の意識を変えるのに苦労している 組織運用にお悩みの方、今一度組織の在り方について知っておきたい方には ぜひご出席いただきたいセミナーです。 開催概要 内容：『組織改革で通販の売上UP！話題の識学とは？』 第1部：識学でどう組織を成長させることが出来るのか？ （17:00〜18:10） 第2部：トークセッション 識学を導入し組織がどのように変わったか？ （18:20〜19:00） 株式会社ビーボ 代表取締役社長 武川 克己氏 × 株式会社識学 取締役 梶山 啓介氏 第3部：モノからコトへー。リアル体験＆声をデータ化してLTVアップ！ （19:00〜19:40） 日時：2018年8月29日（水曜日）17：00〜20：00（受付開始16：30〜） 会場：弊社セミナールーム 費用：無料 定員：30名様（お申し込み多数の場合は抽選となります） 対象：通販企業の経営者・役員・役職者 詳細：https://www.piala.co.jp/201808seminar お申し込み お申し込みは詳細ページ内のフォームをご利用ください。 […]
ブログを書く
皆様こんにちは、雑な細谷です。 本日は雑談枠となります。 先日セキュリティの方で会社で利用するセキュリティに戻る、という事で過去の記事を見直していたのですが、もう私は50以上記事を作っていたんですね。 本業の人にはまだまだ敵いませんが、少しでも皆様の役に立てていれば幸いです。 私自身こうした文章を作るというのは苦手な方ですので、色々と記事の書き方などのサイトを調べたりしていますが、 本業の人って、早い人は1日に1冊とか作る人もいるんですね。。。本当に凄いです。 私はいつも1時間と決めていますが、これだけの文章でも1時間から2時間程かかっています。 分類としては遅筆なほうに入るかと思いますが、私の場合文章が思いつかない、、、というよりは、自分で没にすることが多い傾向があります。 理由は単純で、読みにくい（分かりにくい）記事や喧嘩腰になってしまって自粛というケースがあります。 過去に書いた分で一記事分の文章を書いて、公開していないもののタイトルを上げると、 前者だと「DPOって誰でもなれる？」 後者は「マニュアルって実は最初にできるものって知っていますか？」「迷惑メールの見分け方」 タイトルだけ見れば、凄く普通に見えますが、中身を見ると「うわぁ、、」ってなる文章になっています。 添削なども行っているので合わせると、記事の規模にもよりますが大体一記事毎に1000文字ぐらいは無駄なものが出ている計算になります。 これだけの作業を追加でしていれば、記事を書くのが遅くもなりますねという感じはあります 喧嘩腰などの自粛する記事が多いのは、単純に私が意識高いのと人を煽る性格だからというのがあります、自覚はしているので自分でも注意はしていますが。 書く事に集中してくるとどうしても素のほうが出てくるので、後で読み直すと「これ喧嘩になるなぁ」と思うような内容になり、修正するぐらいなら新しい記事を書いたほうが早いものもあるので未公開になっている記事が増えてしまいます。 コメントも無いので、どのくらい役に立てているかは不安な部分ですが、まあ全部とは言わないのでどれかの記事が皆様のお役に立てれば幸いです。 それでは失礼いたします。
Chromeのアップデートがついに来ます。
お疲れさまです、システムの知恵袋の細谷でございます。 週明けの23日についにChromeアップデートが行われます。度々お話しているため詳細は置いておきますが 対策を入れていないWebサイトはすべて「保護されていません」という表示がURLに追加されます。 ECサイトでそういった表示が出てしまうと、「戻る」ボタンを押されてしまうため、購入率が恐らくかなり減少すると思われます。ご注意ください。 私たちも大量に飛んできていたSSLの対応がほぼ終わり一段落ついた、、、と思いたいのですが、恐らく週明けに対応を入れないとなっていたところから多数また依頼が飛んでくるのではないかと考えています。 というのも、人間はこうした不都合のある情報を聞いても「自分は大丈夫だろう」と思い込んでしまうという心理を持っています。(正常性バイアスというそうです。) これに陥ってしまうと、実際に被害に遭うまで動かず「手遅れ」になってから始めて動き出します。 なぜ「大丈夫」と思い込むのかですが、「警戒」という言葉のせいかなと思います。 私も含めてですが、「警戒」という言葉を聞くと「注意していれば大丈夫」という意識が働きます。 ここでいう注意というのが「対策をしているか？」という部分に繋がり、「マルウェアが増えているので注意しよう」とアナウンスがあっても「家はアンチウィルスソフトはいっているから大丈夫」という心理が出てきます。 過去の記事でお話ししましたが、こうした警告が出ているときは「アンチウィルスソフトの対応が間に合わない」または「アンチウィルスソフトの構造では防げない」ものが流行っていることが大半です。 これは自分が「対策している＝注意している」という意識がある為、「大丈夫」と思い込んでしまうのですね、 これを防ぐには「なぜそんなアナウンスが起きたか」という事を考えることが重要です。 前述の「マルウェア増加」であれば、昔はアンチウィルスが入っていないPCが多かったため「アンチウィルスソフトを入れよう」というのが「対策」になりましたが、今はほぼすべてのPCに入っているため、「アンチウィルスソフトが入っている」というのは「対策」ではなく「前提」になりました。 それが前提なのに、わざわざ警告をするという事は「アンチウィルスソフトが入っていてもダメなものが出ている」という話になります。 まとめると、「警戒」や「注意」という言葉が出てきたら、自身の持っている情報と照らし合わせて「本当に大丈夫か」というのを確認しようという事ですね。 「手遅れ」になればどのような凄腕の人でも「被害0」は無理です、また「元通り」というのも難しいので、警戒と言われたらきちんと確認をお願いいたします。 それでは本日はこの辺で、失礼いたします。
自社サイトのセキュリティ 番外編
お疲れ様です、細谷です。 さて、セキュリティ情報に戻りますよ ということで前回は自社サイトのセキュリティについてでしたね。 ただ常時SSL化やGDPRで明示されたことなどの「サイトをめぐるだけでどれだけの情報」が渡されている可能性があるのかというのを説明しようと思います。 要するに「サイト運営者」側ではなく「サイト利用者」側の情報になります。 ただし、これは「運営者も気をつけないといけない情報」になるので無関係とは行かないので、運営者の方も一読ください。 ●リファラー リファラーとは何でしょうか？ これは「利用しているネットワーク会社」や「IPアドレス(ネット上の住所のようなもの)」等のあなたを示す情報です。 他にも「JavascriptがONかどうか」「ひとつ前のページのURL」や「利用しているブラウザ」等の情報もあります。 一応ですが、この情報を元に現実のあなたにたどり着くことはできません。 なので「個人情報」には当たりませんが、「このサイトからアクセスされている」等の情報を収集することができますので広告等の紹介や案内を行うサービスの場合は「どこが人気なのか」というのが分かります。 このリファラーですが、SSLを当てることで「第三者」に抜かれることを防げます。 引用やフレームなどの「自分のドメイン以外のサイト」を読み込んでいる場合そちらにも情報が送られますが、SSLが当たっている場合「リファラーはそれぞれのドメイン」で分けて管理されますので、 第三者は「自分のサイトの情報」のみの管理となります。 ●cookie(クッキー) cookieとは、あなたのブラウザ内に保存されるデータです。 「ログイン状態の保存」が一番身近な例でしょうか？ プログラムを終了したのにどうやって「ログインしている」という情報を残しておくのでしょうか。 そういった情報を保管しておく機能がcookieです cookieは通常のデータとは違い「制限時間」と「利用可能な人」が設定されています。 例えばサイトAのログイン情報をサイトBが勝手に使えても困りますよね？ cookieはドメイン(サイト)毎に分けて保管されています。 なので別のサイトが使えはしません。 補足として、「○○のアカウントを利用する」は、別の連携の仕組みを使っていますのでcookieは関係ありません。 制限時間は原則「ブラウザを閉じるまで」ですが、プログラム側で「何日間」等の指定ができます。 制限時間を待たずに削除したい場合はブラウザの設定から「cookieの削除」を行いましょう。 また、サイト側にもcookie情報がありますが、利用者と区別するためにサイト側が持つcookieは「Session（セッション）」と言います。 分かりにくければ、チケットの半券を思い浮かべてください、運営側が回収したのが「Session」、あなたが持っているのは「cookie」です。半券がないと「再入場」はできませんよね？つまりそういう事です。 cookieの曲者な所は「何のデータが保管されているかは確認しないと分からない」という点です。 cookieには何のデータを保管するかというのが指定できるのですが、例えば登録フォームのデータを残したら「個人情報」に当たりますし、残さなければ当たりません。 また、txt形式で残しているため、場所が分かれば簡単に改ざんできてしまいます。 なので、cookieを信用するプログラムは少なく、ログイン状態の保存などの「改ざんされても問題ない情報」のみを使うので、個人情報が残るサイトというのは少ないです。 確認についてはブラウザ毎に違うので、「ブラウザ名 cookie 確認」等で検索してみましょう。 本日は以上です。 私たちはサイトをめぐっているだけでこれだけ情報をばらまいていることが分かったでしょうか？ ただ誤解しないでほしいのは「だから危ない」という事にはなりません、 現実も同じです、道を歩いているあなたを見たら「服装は」「髪型は」「見た目の年齢は」「どのあたりを歩いていた」「どの建物に入った」等の情報を周りにばらまいています。 ただしそれで「事件」にまでなるには、例えば見かけた人を追跡するなどの特別な「行動」が必要になります。それに気が付いて「通報する」事で事件が起きる前に防ぐことができます。 ネット上も同じです、ただサイトを巡るだけでは「事件」にまで発展することはありません、そうした特別な「行動」の痕跡をみつけて「通報したり」「よける」事で未然に防ぐことができますので、 いつもの場所でも、今回現れた「不審な人物」がいないかどうか注意してみてください。 それではこの辺で。 皆様よき週末を。
