フォックスエスタでは、ホワイトレポート的なとりまとめた情報を出せればと思っています。まず最初に取り上げたいのが、インシデントの最終報告書です。セキュリティインシデント対応を考える上で「歴史」を学ぶ事は色々な意味で役立つのではないでしょうか。（※随時、事例は追加されると思います）
■九州商船：2018/1（7.4万件）
＜キタきつねコメント＞
報告書が2件が事件後にリリースされていましたが、残念ながらリンク切れになっています。ホームページを見ると、2019/4にホームページリニューアルが実施されており、不正アクセス発生（の可能性）リリースも出てこない事から、リニューアルを機に”削除した”のでは無いかと推測します。含蓄があるレポートだっただけに残念ではありますが、Fox on Securityで取り上げた記事を参考情報として掲載しておきます。
参考：
九州商船の最終報告書が勉強になる - Fox on Security
九州商船の不正アクセス事件について調べてみた。 - Fox on Security
■GMOペイメントゲートウェイ：2017/3
＜キタきつねコメント＞
フォレンジック調査会社の方と雑談した際に聞いたのですが、本当の報告書はこのレベルでは無いそうです。個社のシステムの機微な情報まで含むと思われるので、その部分が削除されるのは普通かと思いますが、表面的な情報だけであっても、０ディ攻撃への対策、あるいは時系列でどういった現場・トップ判断がされていったのか、インシデント対応という意味では対策案まで含めて、他社にとって参考になる情報が多いかと思います。
併せて、フリーのフレームワーク（Apache Struts2）を使うリスク、あるいは日本でもまだユーザが居ますが、古いバージョンのフレームワーク（Apache Struts1等）を使うリスクについて、このレポートを見て考え直すきっかけになるかも知れません。
※同じGMOグループのGMOペパボも漏洩事件が発生し報告も出てますが、GMO-PGの方が色々な意味で初回侵害であるので見るべきなのはGMO-PGのレポートかと思います。
不正アクセスによる情報流出に関する調査報告書（GMOペイメントゲートウェイ社）
■日本年金機構：2015/8（125万件）
＜キタきつねコメント＞
標的型攻撃の典型的なインシデントでした。地方支局の端末から攻める、今でいうサプライチェーン攻撃の様な部分も含め、そして内部は安全であると平文で個人情報が入った作業ファイルを保管している運用は、自分たちは襲われる訳がない、そんな風に過信している所を、海外を含めたハッカーは突いてくるのだという事を改めて認識できるインシデントであったと思います。侵入されないという前提ではなく、侵入されても大丈夫（被害が最小限に抑えられる）な体制を構築すべきであると感じられるレポートと言えるかと思います。
不正アクセスによる情報流出事案に関する調査結果報告（日本年金機構）
■サウンドハウス：2008/4（12.2万件）
＜キタキツネコメント＞
2008年とかなり古い事件を取り上げます。カード情報漏洩事件が発生した際に、ECサイトはどんな事に巻き込まれるのか、SQLインジェクションでサイトからカード情報が漏洩した事件の生々しいカード会社らとのやり取りが、詳細な時系列で書かれています。
ECサイトが攻撃を受けた際に、世間一般にみて対策がされているのだとすれば（あるいは0ディ攻撃であれば）、ECサイトは被害者でもある訳です。カード会社が言う様にセキュリティ対策費用をかけてきた（３Dセキュアの導入等）のに・・・とやるせない部分も文章から垣間見れますが、冷静に自社の悪かった所まで含めて書かれています。
このレポートの中でも、P17～「7.サイバー社会への警告」という部分は必見だと思います。10年以上前の文章ではありますが、そこで指摘されている内容はまったく古くありません。経営者が書いた内容だからこそ、胸に響くものがあります。だからこそ経営層にはぜひ読んでほしいレポートだと思います。
不正アクセスに伴うお客様情報流出に関するお詫びとお知らせ（サウンドハウス）
更新履歴
- 2019年6月1日AM（予約投稿）
フォックス
