さすがにこれは... Sony Pictures Entertainmentのデータ流出問題

Sony関連の情報流出が続いていますが、今日はSony Pictures Entertainmentで発生です。しかも件数が100万件を超える模様です。

今回の最大のシステム上の問題はこれでしょう。


今どき誰もが知っているべきレベルの簡単なSQLインジェクションでデータを取れた（"SonyPictures.com was owned by a very simple SQL injection, one of the most primitive and common vulnerabilities, as we should all know by now."）という彼らの言い分が事実ならそのシステムの作り自体も大問題ですが、パスワードがデータベース上にプレーンテキストで保存されていたというのは弁解の余地がありませんね...。盗まれたデータも既にインターネット上に公開されており、メールアドレスとパスワードの組み合わせで第三者に流出してしまったことになります。他のサイトでも同じパスワードを使っているようなケースがあるとしたら...と考えると非常に危険なことがわかります。

PCWorld Security Alertでは、自分の情報が流出している可能性がある場合はすぐに次のように対応するよう勧めています。

1. とにかくパスワードをすぐに変更する。同じパスワードを使っているサイトがあればそのサイトのパスワードも変える。
2. フィッシングメールが急増する可能性があるので十分注意する。怪しいメールは絶対に開かない。
3. メールだけでなく、通常の郵便も同様の危険がある。住所も流出している場合は特に注意する。
4. クレジットカードや銀行の使用状況に注意する。これらの情報が流出した可能性がある場合は口座やカードを作り直したほうがいい。
5. 流出した個人情報をもとにクレジットカードや口座が作成される恐れがあるため、詐欺に使用されないように注意する。
6. （アメリカ国民の場合）毎年送られるクレジットカードの利用レポートをよく確認する。

Sony Pictures Entertainmentほどの大手企業のシステム、しかも外部からの攻撃を受けている真っ最中の企業のシステムでもこのような弱点が残っていたというのは驚きを禁じえません。今回のようなケースを考えると、利用するユーザーも自分自身で身を守るしかありません。とにかく簡単なパスワードを使うことを避けること、パスワードを定期的に変更すること、パスワードを流用することは避けること、こういった基本を守ることが大切ですね。