WARNING～ウェブサイトを運営している事業者の皆様への注意喚起～

平 成 3 0 年 ６ 年 2 8 日
個人情報保護委員会事務局

１．はじめに（ウェブサイトを取り巻くリスク）
当委員会において報告を受けた不正アクセスに起因する漏えい等事案の中でも、ECサイト ※や会員用ウェブサイトにおける情報漏えい事案が多く報告されています。ECサイトはクレジットカード情報を含む個人データを盗むことを、会員用ウェブサイ
トはポイントの不正利用や個人データを盗むことを目的として、攻撃の対象になりやすい傾向にあります。
こうした不正アクセスは、企業規模の大小や業種に関係なく、様々なECサイトや会員用ウェブサイトなどに対して仕掛けられています。そのため、ウェブサイトを運営する事業者は、こうした脅威を認識し、不正アクセスによる情報漏えいを防ぐために適切なセキュリティ対策を講じる必要があります。
※

ECサイトとは、インターネット上で商品を販売するウェブサイト、いわゆるインターネットショップのこと。

２．本資料の目的
本資料は、ウェブサイト運営事業者がセキュリティ対策を行うに当たり、実際に発生した不正アクセスによる情報漏えい等事案を踏まえて、注意いただきたい事項を示すことを目的としています。なお、本資料に示す内容は、あくまでセキュリティ対策の一例であり、必ずしもこれらの対策を実施すれば十分というものではありません。個々のウェブサイトに応じて、システム担当者やシステム開発・保守運用の委託先と相談の上、必要な対策の実施をお願いします。

３．ウェブサイト運営事業者がセキュリティ対策を行う上で主に注意すべき事項（１）
まずは現状を確認

 ウェブサイトの構築手法は様々であるため、それぞれの実状に応じたセキュリティ対策が必要になります。
まずは、自組織でどのようなシステム等を使用しており、誰が管理しているのか、どのようなセキュリティ対策を実施しているのか確認し、その上で必要な対策を検討・実施しましょう。

（２）
ウェブサイト構築時に注意すべき事項

 ウェブサイトの構築（制作）・導入にあたっては、デザインやコストを重視しがちですが、セキュリティ対策についても十分に行いましょう。
 サイトの構築（プログラミング等）の段階で脆弱性に関する対策が不十分であったケースは決して少なくないため、公開前に脆弱性診断等を行い、見つかった脆弱性については確実に対策を行いましょう。

（３）
ウェブサイト運用時に注意すべき事項（４）
委託先業者の監督における注意すべき事項

 ウェブサイトの運用にあたっては、OSやソフトウェアの脆弱性対策情報を収集し、必要に応じ速やかにセキュリティパッチを適用しましょう。
 攻撃を感知・防御する体制や仕組み（例えばＩDＳ/ＩPＳ※1、ＷＡＦ※2の導入等）を整えることが望ましいと考えられます。
※1 IDS/IPS：IDS（Intrusion Detection System）不正侵入検知システム、 IPS（Intrusion Prevention System）不正侵入防御システム※2 WAF：（Web Application Firewall）ウェブアプリケーションの脆弱性を狙った攻撃を防御するシステム

 委託先業者に任せきりにしていませんか？ 委託元には委託先の監督義務があります。
 ウェブサイトの構築や、その保守・運用を委託している場合は、委託先との契約時にセキュリティ対策の内容を明確にした上で契約をしましょう。
 委託先にセキュリティ監査の実施、及び報告を求め、契約書に記載されたセキュリティ対策が委託先で適切に実施されていることを定期的に確認するようにしましょう。

<<脆弱性とは>>
脆弱性とは、広義には外部からの不正アクセスに対してシステムの安全性が損なわれる弱点のことを指します。ウェブサイトを構成するネットワーク機器やサーバ機器における不適切な設定が脆弱性となり不正アクセスを受ける場合があります。
また、ウェブサイトの利用者が直接操作する、ウェブサイト上で動作しているソフトウェア（ウェブアプリケーション含む）のセキュリティ上における弱点も脆弱性と言います。
ウェブサイトを建物に例えると、脆弱性とは建物の外から入る抜け穴（外壁のほころびなど）で、攻撃者はこの抜け穴をから侵入（攻撃）してきます。セキュリティーホールと言われることもあります。
脆弱性対策とは、この抜け穴を塞ぐための対策（セキュアなシステム構築、セキュリティパッチやアップデートの適用等）を実施することです。

４．発生事例から学ぶセキュリティ対策
当委員会で受付けた不正アクセスを起因とする漏えい等事案の中でも、頻繁に発生している事例、自組織でも同様の事例が発生することがないか確認いただきたい事例をご紹介します。自組織のウェブサイトにも同様のセキュリティリスクがないか確認をお願いします。
対策が実施済みかチェックするために、システム担当者やシステム開発・保守運用の委託先などに対策の実施内容及び実施結果（証跡）などを確認し、不十分であれば必要な対策を検討・実施しましょう。

≪事例≫
事例１

既知の脆弱性対策を怠っていたことによる情報漏えい事案

事例２

ＳＱＬインジェクション攻撃による情報漏えい事案

事例３

リスト型攻撃による情報漏えい事案

事例４

ウェブサイトの機能拡張やバージョンアップに起因して情報漏えいした事案

事例５

脆弱性診断ツールで脆弱性を検知できず情報漏えいした事案

参考情報

事例１ 既知の脆弱性対策を怠っていたことによる情報漏えい事案
事例
 使用しているソフトウェアやアプリケーションフレームワークの脆弱性が公表されたものの、セキュリティパッチの適用を速やかに行っていなかった。これにより、その脆弱性を狙った不正アクセスを受け、サーバ内に保持していたクレジットカード情報を含む個人データが窃取された！

POINT
 ソフトウェアなどに脆弱性があった場合、そのソフトウェアなどの提供元から脆弱性情報と共に、その脆弱性を修正するためのセキュリティパッチやアップデート情報が公開されます。不正アクセスを企てている攻撃者
は、公開された脆弱性情報を収集し、対策（セキュリティパッチやアップデートの適用）を行っていないウェブサイトに攻撃を仕掛けます。

対策例
 自組織のシステムがどのようなソフトウェアなどで構成されているか把握し、当該ソフトウェアなどの脆弱性対策情報の収集及びセキュリティパッチの適用やアップデートの適用状況を管理する仕組み（資産管理ソフト、脆弱性管理ソフトの導入等）を整備しましょう。
 運用保守などを委託している場合は、委託先がバージョン管理や脆弱性管理を適切に行っているか確認しましょう。

事例２ ＳＱＬインジェクション攻撃による情報漏えい事案※

SQLインジェクションとは、ウェブサイトが利用者から送信される情報に対して適切な取扱いをしていないことに起因して、データベースを不正に操作される脆弱性です。この脆弱性を利用する攻撃のことをSQLインジェクション攻撃と呼びます。この攻撃により、ウェブサイト運営者が意図していないデータベースの操作が可能となり、データベースに格納された個人データの漏えい、改ざん等の被害を受ける可能性があります。

事例
 ウェブサイトの予約システムに対しSQLインジェクション攻撃があり、予約者の氏名や電話番号、メールアドレスなどの個人データが窃取された！
 ＥＣサイトの管理者IDとパスワードがSQLインジェクション攻撃により抜き取られ、悪意のある第三者により当該管理者IDとパスワードを使用して管理サーバにログインされ、ウェブサイトが改ざんされた上に、氏名、住所、クレジットカード情報などの個人データが窃取された！

POINT
 ＳＱＬインジェクション攻撃は、近年でも多くの被害事例が報告されている攻撃手法です。ウェブサイトの構築・修正等の際に脆弱性を作り込まないことが重要です。

対策例
 ウェブサイトの構築・修正の段階でセキュリティチェックシートなどを使用して脆弱性が存在していないか確認を行いましょう。
 また、ウェブサイトのリリース前に外部業者による脆弱性診断サービスや、脆弱性診断ツールを利用するなど多段階の確認を行い、ウェブサイトに脆弱性を残さないようにしましょう。
 定期的に、ウェブサイト全体を対象として脆弱性診断を行うことも有効です。

事例３ リスト型攻撃による情報漏えい事案※

リスト型攻撃とは、攻撃対象とは別のウェブサイトなどから何らかの方法で不正に入手したIDとパスワードの組み合わせの一覧（リスト）を使用して、ウェブサイトなどにログインを試みる攻撃手法です。利用者が同じIDとパスワードの組み合わせを複数のウェブサイトで使用する傾向にあることを利用した攻撃です。

事例 リスト型攻撃により会員用ウェブサイトへ不正にログインされ、登録されていた会員情報を閲覧されるとともに、ポイントプログラムのポイントを使用し商品を購入されてしまった！
 ECサイトにリスト型攻撃があり、登録してある会員情報が閲覧されるとともに、登録クレジットカードによる商品の不正購入が行われた！

POINT
 自組織のシステムからＩＤやパスワードのリストを窃取されないように対策を行うことはもちろんですが、リスト型攻撃によって不正ログインされ、個人データが漏えいしないよう対策を行いましょう。

対策例
 事業者自身の対策としては、ＩＤ・パスワード以外の認証要素（多要素認証）を導入することや、不正ログインの試行を検知・防御するセキュリティツールを導入することが有効と考えられます。
 事業者側から利用者に対しては、他ウェブサイトのパスワードとの重複を避けることをアナウンスすることが有効と考えられます。

事例４ ウェブサイトの機能拡張やバージョンアップに起因して情報漏えいした事案
事例
 ECサイトのプログラムを修正（機能拡張など）した際に脆弱性が生成され、この脆弱性を狙った不正アクセスにより個人データが窃取された！
 ウェブサイトを構築しているパッケージソフトのバージョンアップを行った際、バージョンアップに伴ってシステムの設定が変更になったことにより、サイト構築時に内在していた脆弱性が表面化し攻撃を受けた！

POINT
 ウェブサイトのプログラム修正、バージョンアップなどの変更・修正を行った場合は、機能面の確認だけでなく、脆弱性の有無についても確認することが重要です。

対策例
 ウェブサイトのプログラム修正、システムのバージョンアップなど変更・修正を加えた場合は、リリース前にセキュリティチェックシートなどを使用し、ウェブサイトに脆弱性がないか網羅的に確認を行いましょう。
 自組織で行うことが難しい場合は、外部業者の脆弱性診断サービスを利用することや、脆弱性診断ツールを使用するなどの方法があります。ウェブサイトの運用保守などを委託している場合は、委託先から脆弱性診断の結果（セキュリティチェックシート等）の提出を受けるなど、脆弱性対策が適切に実施されているか確認しましょう。

事例５ 脆弱性診断ツールで脆弱性を検知できず情報漏えいした事案
事例
 ウェブサイト用の脆弱性診断ツールを利用して診断していたものの、脆弱性診断ツールを適切に使用できていなかったため、脆弱性を検知できず、不正アクセスにより個人データが窃取された！

POINT
 脆弱性診断ツールを利用して診断しているから大丈夫！と思っていませんか？診断ツールを利用していても、そのツールの使い方を十分理解していないと、診断したつもりの箇所が診断できておらず、脆弱性を見逃してしまう場合があります。

対策例
 まずは、使用している脆弱性診断ツールの機能を確認しましょう。そして、診断ツールの診断対象範囲について確認を行うなど、適切に診断ができているか確認を行いましょう。
 定期的に、ウェブサイト全体を対象として脆弱性診断を行うことも有効です。

参考情報
独立行政法人 情報処理推進機構（IPA）ホームページより
・「安全なウェブサイトの作り方」：https://www.ipa.go.jp/files/000017316.pdf
・「安全なSQLの呼び出し方」：https://www.ipa.go.jp/files/000017320.pdf
・「ウェブ健康診断仕様」：https://www.ipa.go.jp/files/000017319.pdf
・「安全なウェブサイトの構築と運用管理に向けての16ヶ条」： https://www.ipa.go.jp/security/vuln/websitecheck.html
・「ウェブサイト運営者のための脆弱性対応ガイド」：https://www.ipa.go.jp/files/000058492.pdf
・「セキュリティ担当者のための脆弱性対応ガイド」：https://www.ipa.go.jp/files/000058493.pdf
・「IPA脆弱性対策コンテンツリファレンス」：https://www.ipa.go.jp/files/000051352.pdf
Japan Vulnerability Notes（JVN）ホームページより

・「脆弱性対策情報のデータベース」：https://jvndb.jvn.jp/