質問: 他idとパスワード事件について by家電量販店の質問 最近他人のidとパスワードを使って不正アクセスとか言う事件が頻繁に起こってます。おもに中学生~二十歳ぐらいの子が多いようですが、いったいidとパスワードをどのようにして知るのですか?直接お教えできない無いようでしたら参考hpでも教えていただけたらと思います。それとq.2→nttのフレッツadslを使っていますが、ゲートロックを入れれば大丈夫でしょうか?販売店で働いていますが、不正アクセスそのものがどういった経路で行われるのか知識としてほしいというのが今回の質問動機です。
回答: こんにちは。 私も大昔ですが、量販店の家電売り場にいた事があります。 専門店ではない場合(専門店でもですが)、日々の仕事に追われてなかなか体系的な学習をする事が出来ず、「ドキドキの毎日」(失礼)ではないかとお察しします。(「ウチは売ったら売りっぱなしでーす!」と高らかに宣言できればいいのですが、そうもいきませんしね...。) ただし、今後もネット環境の悪化が止まることは期待薄な上、「知らなかった...。」では済まされない事も多々あると思いますので、後段で紹介するサイトなどを参考に一度勉強しておいて損はありません。 さて、本題ですが、「idとパスワードの盗難」と言っても、対象(何に使うidやパスワードか)が多岐にわたるので、ズバリの回等が出来ないのですが、ありがちなシチュエーションを説明してみたいと思います。 ●「学校や会社」「ネットカフェ」など、不特定多数が利用できる環境での、pc本体に仕掛けた「キー・ロガー(全ての操作内容を盗まれます。)」や「スニッファーによる盗聴(多くの場合、メールのidとパスワードが平文で流れます。)」といったパターン。 ●「無線lan環境」では、通信の暗号化{wep等)を利用しない限り、屋内・屋外関係なく、「盗聴」の危険が大です。(店内で無対策な無線lanを使ってクレジット情報をやり取りするなどは論外です。) ●「ispやサービス提供者からの漏洩」→先日の報道を見れば「言わずもがな」ですが、このパターンは多発しています。 「パスワード」そのものがもれなくても、idが漏れ、それに対して安易なパスワードを長期間利用していれば、(ハッシュファイル等の入手が必要になる場合もありますが)クラッキング・ツールによって簡単(ものによっては数分で)に解析できてしまいます。 パスワード自体については、最低限「デフォルト(プロバイダ提供)のものから8文字以上の英数字混合のものに変更する。(8文字以上のものでも辞書に載っているような単語は避ける。)」などの対策を行う必要があると思います。(実用的なパスワードの作り方は下記urlを参考にしてみてください。) ↓ http://www.okweb.ne.jp/kotaeru.php3?q=609275 ●「利用者の不注意」→「ストーカーなどによるゴミあさり」や「デマメール、詐欺メールへの注意不足」など、日常生活で自分から情報をばら撒いてしまうケースも多々あります。(多くが「ちょっとした注意」で防げるものです。) ●「ウィルス(トロイの木馬)」→ひとたび感染し発症してしまえば、リモートからでもまさに「何でもアリ 」です。 キリが無いのでこの辺でやめておきますが、これらの手口の中には、いわゆる「スクリプト・キディ」(技術も罪の意識も希薄な若年層)などがネット上で手に入る「ツール類」を利用することで実現できるものも多くあります。 セキュリティーの問題は、売り手だけではなくユーザー側にも意識が浸透しないとなかなか状況が改善されないとは思いますが、心構えとして「被害にあいにくくするための基礎知識習得と対策を行う事。(心理的にもハード・ソフト的にも)」+「情報漏れはあり得るという前提にたつ事。」が大切なのだと思います。 特にインターネットは「自己責任」の世界なので、小売業での「売り手」←→「消費者」という図式における権利意識(過度の期待)と矛盾するケースが多々あると思います。(ここがある意味「問題の根源」である気もしますが...。) しかし、もちろん売り手にも一定の責任はありますので、ある程度の基礎知識習得とその提供は必須だと思います。(ただ、店ぐるみで体系的な計画(研修など)を行わないと、実現は難しいかもしれません。) セキュリティーに関する問題は非常に奥が深く、一度突っ込まれると相当な知識がないと対応できないのが現実なため(しかも「今日の常識は明日の非常識」というのがセキュリティーを含めたネットの世界です。)、付け焼刃程度の勉強では正直シンドイと思います。 セキュリティー目的のソフトウェアやハードウェアは、ツボをついて導入し正しく運用すれば飛躍的に安全性を高める事ができますが、「入れればそれでok」というものではありません。 ただし、「新規販売のpc+常時接続の利用」という条件であれば、「ウィルス対策ソフト」+「パーソナルファイアーウォール」+「ブロードバンド・ルーター」(もしくはこれらの組み合わせと同等機能を実現するもの)という内容をそろえるよう、お客さんに強くおすすめすべきだと思います。(なぜそうなるのかという理由とセールストークについては、十分に勉強・検討する必要がありますが。) いずれにしても現実的な方向性としては、担当者自身が下記urlなどで基本を勉強した上で、お客さんには「そこそこに」対応、詳細については以下のようなサイトを参考にお客さん自身が自衛策を施すようおすすめするのが、むしろ「家電量販店における責任ある売り手の態度」だといえると思います。(もちろん、真意を十分に説明する必要はありますが。) 量販店さんも大変な時代だと思いますが、少しでもお役に立てれば幸いです。 それでは。 <<参考url>> ■<売り手として最低限知っているべき情報>■ ↓ ■情報セキュリティ対策実践情報 エンドユーザ・ホームユーザ向けのページ■ copyright(c) information-technology promotion agency, japan. all rights reserved 2004 ↓ http://www.ipa.go.jp/security/awareness/end-users/end-users.html ■<お客さんにおすすめするセキュリティー対策基礎知識とそのurl>■ ↓ ■protect your pc パソコンを守るための3つの手順■ c2004 microsoft corporation. all rights reserved. ↓ http://www.microsoft.com/japan/security/protect/default.asp ■@policeホームページ(上部メニューのセキュリティー講座が有用)■ copyright (c)2003 警視庁/national police agency ↓ http://www.cyberpolice.go.jp/