企業へのハッキングに思う

ここ最近毎日のように個人情報流出のニュースが流れていますね。当たり前のように流出していて参っちゃいます。

ハッキングにはAIが使われているとか。そりゃ間髪入れず超高速でハッキングしてきますよね。

システムに使っているツールの脆弱性のパッチが公開されてから、担当者がシステムにパッチを当てるまでの短い間に、攻撃でシステムが突破されるというリスクが格段に上がったと言えます。（１デイ攻撃とか言われますね）
システム担当者目線で言うと、セキュリティパッチは大事なのですが、最新にアップデートしておけば安全かというと、実はそうでもないのです。

サプライチェーン攻撃という手法があって、こちらは、最新版で発生しやすい攻撃なのです。なので、今までは最新版も利用者が増えて問題が出尽くして対応が終わったのがわかるまで最新にしないと言う動きをとったりしました。
この攻撃についてですが、システムで使うツールは様々な開発者が関わっていて、様々な開発者が作った最新のモジュールを寄せ集めて一つのツールになっていたりします。その開発者の一人がハッキングでもされてしまうと、悪意のあるコードを埋め込まれたライブラリが最新版に組み込まれることになるのです。そのライブラリを組み込んでしまったツールを使うと、最初から突破された状態になって、個人情報が抜かれたり、システムそのものが破壊されたりと言ったことに繋がっていきます。

今回PHPで起こったのは、
・脆弱性発見、開発元へ通報
・パッチが適用されて公開されるまで、脆弱性情報は秘匿しておく
・脆弱性公開とともに、パッチ公開
と言う流れなのですが、
パッチが公開される前に、発見者が全世界に公開してしまった。と言う話なのです。それによる攻撃をゼロデイ攻撃とも言いますね。

インターネットという便利なデジタル環境を使っていますが、特に今、安全性が問われていると思います。

パスキーを携帯電話に登録している人もいると思いますが、iCloudやGoogleのアカウントがハッキングされたら当然、色々なサービスで使っているID ,PWD,パスキーは漏れ、多分財産全てを失うくらいの影響があるのではと思います。その２つが最後の砦なのですよね。ただ、我々がどうそれに対して守っていくか・・・というのはよくわかりません。使わないことが一番なのでしょうが。。。