怪しいサイトの本当の脅威
危ないのは“怪しいサイト”だけではない，一見“無害な”サイトにも罠：ITproSecurityより
セキュリティ組織の米SANS Instituteは現地時間10月14日，ニュース・サイトに見せかけた悪質なWebサイトが確認されたとして注意を呼びかけた。Webサイトにアクセスすると，悪質なプログラム（マルウエア）をダウンロードされる恐れがある。
この悪質なサイトは10月12日に登録されたとされる。ニュース・サイトに間違えそうなドメイン名（URL）が付けられ，サイトの内容も，真っ当なニュース・サイトに見える。それもそのはず，そのサイトでは，実在するオーストラリアのニュース・サイトの内容をフレームでそのまま表示している。同時に，悪質なプログラムをダウンロードさせようとする攻撃者のWebページもフレームで読み込んでいる。
今回のように，怪しそうには見えないサイトに“罠”が仕掛けられるケースが増えている。このためSANS Instituteでは，馴染みのない（よく知らない）サイトへアクセスする際には十分注意するよう呼びかけている。・・・
数年前といっても、2000年の初め頃、官庁Web改ざんの事件が多発した。
ちょうど不正アクセス禁止法の施行直前の時期だった。セキュリティ業界には特需かぁ？なんて話題になったことを覚えている。
最近の対策動向は把握してないが、当時Web改ざんを回避するためにどうするか？って事で、改ざんは、書き換えられなければ良いのだから、CDROM等の書き換え不可能なものに書けばいい！なんて話もあったが、現実的でなかった。
ページコンテンツを更新するたびに、CDを焼かなければならないからだ。
当時、企業のトップページにおいては書き換えられた場合に、企業イメージ失墜などの話もあった。それは今でも変わらないだろう。
話題になりにくいだけで、今でも改ざんは起きている。
あの頃は、改ざんページを保存していたページもあったが、追いつけないほどの量があったのか？ページは当時のままになっている。http://www.attrition.org/mirror/attrition/
トップページを、プレイボーイの画像などに張り替えられたりした。是非見て。
しかし最も影響が大きく一番ヤバイ改ざんとは、ニュースサイトや政府の公式コメントなど、企業の場合は業績報告やこれも公式なコメントなどだ。
わかりやすいトップページなどは、イタズラ？でも済まない問題だが、書き換えられたことがわかりやすい分、まだいいかもしれない。
自分でもエクセルなどの数値を間違えて入力したら、そんなの覚えてない程に記憶なんかしてない。
同じようなことで、一部だけでも書き換えられた場合はわからない。しかし現在では、技術的方法により、なんらかの回避方法はある。しかし、書き換えの発見後の問題。
その見たものを疑う余地はないものだった場合、また数字やニュースなどのはじめて見るものなどは、それを信用するしか方法はなく、誰しも疑わない。
しかし、こんなところが改ざんされると、いろんな影響が飛び火し、経済損失すら招いてしまう。株価に影響しそうなものだったら真夜中に改ざんされ、その報告や告知がマーケットが開く前に出来るだろうか？
最近では、改ざんされたページからウィルスなどを押し込んでくるものが多い。これも時代が変わったのだろう。
流れを見ていると、ニュース記事の改ざんなんかは、トップページが大々的に変われば気づくが、ニュース内容の一部の数値や名称、国名、などだったら・・・
とんでもない問題にまで発展しかねない。
これは改ざんに限った事ではなく、どの情報についても同様の事が言える。
複数の情報を見て比較する
これは改ざんの回避だけでなく、通常の情報収集でも言えること。
１つの情報だけが、本当に正しいかどうか？誰にもわからないからだ。
自分がその情報を読み込んでいる立場と、まったく対極になる逆の見方である、情報を客観的に見ることをするだけで、新しい発見と、間違った情報をマージできる。
しつこいようだが、改ざんに限ったことではない。
検索エンジンでＴＯＰに表示される情報が、必ずしも正しいものか？わからないのである。
新倉茂彦
最新記事 by 新倉茂彦 (全て見る)
- 本当の監視カメラとは「瞬きしてジロジロ」見るのが抑止効果あるのかもしれない - 2021/04/20
- 頭の悪そうな「詐欺メール」が来たので、読み込んでみた - 2021/04/08
- 【共通用語】パスワードを電話で伝える時に間違えない方法 - 2020/12/03
何をどこからどのようにすれば？との質問が多くあります
急激な社会環境変化により従来の概念や方法では解決できないことが多くなりました。
従来の業務は会社の中で行う → モバイルを活用して場所と時間の制約が無くなった → 自宅などの会社以外の場所で通常と同じレベルの作業が求められる（現状のリモートワーク）
労働・雇用環境の変化に応じて基準となる「就業規則」も変えなければなりません。同時に業務を進めるために「最低限のセキュリティ」も確保しなければなりません。
しかし教育も体制もない中、どのように進めればいいのでしょうか？と問合せが増えています。