2006年07月27日(木) 00時54分

企業サイト、５割に「穴」　コンサル会社が「侵入」調査（朝日新聞）

　金融や情報通信などの企業が運営するウェブサイトに不正アクセスを試みたら、半数のサイトで情報漏洩（ろうえい）につながる致命的な欠陥があった——。野村総合研究所の情報系コンサルティング子会社の調査でこんな結果が出た。他人になりすませば個人情報を取得できるようなシステム上の欠陥が多く、相次ぐ情報流出事件には企業側の態勢にも問題があることを浮き彫りにしている。

　調査したのはＮＲＩセキュアテクノロジーズ（東京）。調査対象は、同社に自社サイトの診断を依頼した５５社と１官公庁が運営する計１６７サイト。このうち９割弱は東証１部上場企業かその子会社が運営している。

　「ハッカー」役を担当した調査員は、情報セキュリティー分野で実績がある米研究機関で企業側のシステム防衛策について研修し、さらにシステム侵入調査で２年以上の経験がある。昨年４月から今年３月にかけてハッカーのような手口で各サイトに侵入を試みた。

　この結果、顧客の氏名や住所、連絡先、クレジットカード番号などの重要情報を不正取得できたサイトは５０％にのぼった。１年前に１０１サイトを調査した際（４３％）より悪化し、情報漏洩につながる可能性があるサイトも２９％あった。

　データベースに命令できる「ＳＱＬ」という特殊な言語でサイト運営者のデータベースに接続し、重要情報を取得したり改ざんしたりできたサイトが３５％あった。また、別の利用者のふりをして他人の個人情報にアクセスする「なりすまし」が通用したのが３０％、サイト管理画面に不正アクセスできたのが２２％だった。ＵＲＬ（アドレス）を少し改変するだけで簡単に他人の個人情報を見られるなど、初歩的な欠陥もあった。

　対策としては、データベースに接続できる権限を細かく設定することやデータの暗号化に加え、不正利用を早期に発見するために過去のアクセス履歴を表示することなどが挙げられるという。

http://www.asahi.com/business/update/0727/001.html