事故から学ぶ
不正アクセスによるスパムメールの送信および個人情報漏洩の可能性、お茶の水女子大
事故概要
| 業種 | 国立大学法人お茶の水女子大学 |
| 発生時期 | 2019/05/29～06/3 |
| 漏えい人数 | 361人 |
| 事故概要 | お茶の水女子大学の大学教員1名のメールパスワードが窃取され、不正アクセスを受ける事案が発生した。パスワード窃取からアカウントを停止するまでの間、主にフリーアドレスを対象に多数のスパムメールが送信され、また、攻撃者が当該教員のメールボックスにログイン可能であったことから、保存されていたメールが攻撃者に閲覧された可能性があるとしている。東北工業大学で同時期に同様の手口で個人情報漏えいが発生しているので、不正アクセスの手法が共有化されたか、同一犯の可能性もある。 学内学生の氏名、所属、メールアドレス（一部、電話番号等の情報含む）：88件 |
| 引用元 | 国立大学法人お茶の水女子大学 |
■ 事故原因
事故の原因はチェックリストの下記項目が該当すると推察します。
チェックリストコード：
20-7 （第20条）安全管理措置 パソコン利用教育（パスワード管理）
チェックリストにある要求ルール：
パスワードは自分の名前、電話番号、誕生日など推測されやすいものを避けて複数のウェブサイトで使いまわしをしないなど、強固なパスワードを設定していますか？
パスワードを紙に書いて机の引き出しに入れたり、他人から見やすい場所に貼っていませんか？人に教えたりしていませんか？
■ 推奨対策
対策：
今回の事例はなりすましメールである。
このところメールの乗っ取りが急増した。乗っ取りの手口が共有化されたり、あるいは同一犯が学校ばかりを狙っている可能性がある。学校が発行する学生や教職員用のメールアドれるは、目的を持って調べれば誰でも知ることができる。そのアドレスに対し簡単に類推できるパスワードを組み合わせると本人になりすますことができ、さらに学内や企業内のファイルサーバにも入る込める可能性がある。不正を試みる犯人たちは、数万件に及ぶ「よく使われるパスワードリスト」をすでに入手しており、機械的にパスワードをメールアドレスにぶつけて一致させるアプリケーションもネット上に多数存在しているので、ある意味では誰でもなりすましできてしまう材料は揃っている。
具体例：
パソコンを使用するときに求められるIDPW.特にIDにメールアドレスを使っているケースが散見されるが、以外にセキュリティーホールにもなっている。利用者が覚えやすい、という理由で簡便な連続文字や、誕生日などを使っていれば、メールアドレスだけあればその会社の社内システムに簡単にログインできる可能性が高くなる。ファイルなどの置き場所や社員専用サイトのURLは大体どの会社も似たようなアドれるであり、ましてやクラウドサービスであればあらかじめセットされたURLを使っているので、不正アクセスをする側から見たら、やりやすい手段のひとつである。今回の実質被害は不明だが、パスワード一つで大きな損害を招きかねない、という事例である。社員に徹底する内容がまた増えた。
ご入会のお手続きはこちら
会費のお支払い方法は、クレジットカード払いと口座振替の2種類お選びいただけます。 （会費のお支払方法により、入会手続きが異なります。） 詳しくは、「ご入会の流れについて」をご確認ください。
