果てしなきサイバー攻防戦

サイバーセキュリティの世界に関わってもう何年にもなりますが、攻める側と防御する側の攻防はいつまで続くのかと思います。

攻撃の手口は山ほどありますが、例えば動作中のプロセスにヤバいものを入れ込む（注入する）インジェクションというタイプの手口を例にとっても、DLLインジェクション、プロセスホロイングなどいろいろあり、そのそれぞれで日々新たな手口が考案されている。

これは、あるやり方が解明されるとEDRとかでその挙動を検知されるため、さらに裏をかこうとして・・・ということが延々と繰り返されるせいです。

この根本原因の１つはWindows OSそのもののつくり、公開されている仕様やAPIの存在自体といえます。Linuxと比べても、Windows APIは無数といっていいほどの数があり、EXEの仕様などもかなり公にされているというか、多すぎるせいだと思います。

しかし、今さら辞めることもできず、バージョンUPの中で実装を変えてはいるものの、一気に変えたり非公開にするとWindows上で動作するアプリの互換性がなくなりすぎてしまうため思い切ったこともできない。

近年のハッカーは会社のような組織集団で形成され、かつ標的になる企業のシステム環境、OSやAV、EDRを特定した後に事前に同じシミュレーション環境を作って検知されないか確認しながら、新たなマルウェアや手口の研究開発をしているので、攻撃側が圧倒的に有利です。

果てしなく続くように思えますが、ここで根源的に問題なのは防御機能、もっというとインフラ自体を他者に依存し過ぎている点でしょう。日本人技術者は、日本国はそろそろ目覚めるべきではないかと感じます。

頻発する個人情報やキャッシュカード情報漏洩

最近あちこちのウェブサイトで個人情報やキャッシュカード情報が漏洩する事件が頻発していますが、以前と異なる新手のハッキングが行われるようになっています。ある調査だと、2020年代から日本のECサイトを狙い撃ちにする傾向が顕著だといいます。

近年はキャッシュカードのような重要データは漏えいすると大変なので、ECサイトのサーバに蓄積してはいけないという法令も出来たので、サーバ上にデータはないはずです。ではどのような手口でそういう情報を抜き取るのでしょう。

商品へのコメントなどを書ける機能があるので、そのコメント欄にコメントを記入するがてら、悪性のスクリプトをそこに書き込みます。

サイト管理者は定期的に読者や購入者などの意見を見るために記入されたコメントを見に来ますが、管理者機能でその内容を見た瞬間に仕込まれたスクリプトが起動し、そのECサイトにバックドアが設置されます。管理者が見ているので管理者権限で動きますから、システムとしては怪しいとは判断しません。

しばらくしてハッカーはそのバックドアを使って、新規登録画面で操作された入力データを丸ごと盗み見し外部サイトに転送するプログラムを注入します。

その後、そのサイトを見て自分も会員登録しようと思ったユーザが個人情報やキャッシュカード情報を入力すると入力した内容がそのままハッカーに送信されるというわけです。

ECサイトでそういうおかしな動きをチェックすればいいのでしょうが、WordPressみたいなECサイト構築用のフリーツールがあり、そういうものはこうした脆弱性対策が後手に回りがちで、サイト運営者もそういうことに頓着しない人も多い。

一般ユーザやサイト構築、運用している人よりもハッカーの方が力量的にははるかに上なので、毎日のようにどこかで重要情報が抜き取られてしまうというわけです。やたらに個人情報をWebで入力しないのが賢明でしょう。

医者とランサムウェア

このところ大病院がランサムウェアの被害にあう事例が起きています。その昔は四国の半田病院、ちょっと前は大阪の国際医療センター、つい最近は、岡山の医療センターです。

原因はどれもほぼ同じで、

VPN装置の脆弱性が放置

パスワードは誰でも推測できるもので全部同じ

ウィルスソフトの更新停止

OSのパッチ未適用

というもの。電子カルテシステムが動作するWindows環境は、バージョンアップしたりセキュリティ更新パッチも適用していないことが大半で、これはそういうことをすると電子カルテシステムの動作保証ができなくなるため、放置されているからです。

では、業者が悪い、けしからんという話なのか　ですが、一概にそうともいいきれない。本当の原因は「医者」という種族の特性にある。

彼らは、医学部の学生だったころから、”先生”　なのです。人から頭を下げられることはあっても、自らが頭を下げることはほとんどありません。頭を下げるのは、医学部の先輩教授や学部長、院長であり、患者も設備機器業者も皆頭を下げさせる存在です。

いわゆるサラリーマンとか社会人の感覚はないので、コンピュータの業者は”下僕”に近い存在です。

昔この業界の仕事をしたこともありましたが、メーカなどが新しいＭＲＩ、ＣＴスキャナなんかを開発して病院に売り込みにゆけば、

「使ってやるから、おいとけ」

というかんじです。こんなことなので、業者からしたらセキュリティのパッチがどうの、電子カルテが動かなくなるかもしれないので・・・なんていう話をしたら「バカヤロー！」と怒鳴られ出禁になるだろうし、問題起こしたら全部お前が責任取れ　ということになるでしょう。

医者の免許制度そのものも含め日本医師会、厚労省の巨大利権になっているし、こういうランサム事案は現場の業者とかにしわ寄せがゆくのだろうなと思います。