『テクノロジー』が進化して、便利になればなるほどに、
避けては通れない話題があります。
ずばり。
『セキュリティ』。
サッカーで言えば『デフェンス』的な役割で、
決して目立って表に立つ事はないけれど、
『デフェンス』なくしてはボロボロ弱小チームになってしまうわけで。
『セキュリティ』は日本語で、
安心、安全、警備なんて意味があって、
もし『セキュリティ』がボロボロだったとしたら、
- 個人情報データを書き換えたり
- 個人情報データを盗んで悪用されたり
- クレジットカードで不正取引されていたり
- パソコンが踏み台にされてウィルスまみれになったり
それはそれは悲しい出来事が襲ってきます。
実際に僕も経験があって、2015年ごろだったと思いますが、
クレジットカードの使用履歴を見てみたら、
どう見ても使った覚えのない『アンドロイドアプリ』の決済の履歴が。
金額としては数百円ではあったものの、
と思い、慌てて『グーグル』の問い合わせセンターに電話して、事情を説明して、
どうにか取り消してもらえました。
もちろん速攻でパスワードを変更しました。
あの事件以来、
『パスワード』や『セキュリティ』というキーワードには敏感になっているのですが、
なにやら最近『2段階認証(にだんかいにんしょう)』なるキーワードをよく耳にするようになりました。
2段階認証とは？ 1段階ではなくて2段階なんです
もう文字通りそのままなんですが、
『2段階認証』というのは、
『1回』ではなく『2回』認証をする仕組みのことです。
と思いがちなんですが、もちろん同じ事を2回やるわけではなくて、
Webサービスなどにログインする時に、
IDとパスワードを入力して終わり、ではなくて、
メールや『SMS（ショートメッセージサービス）』に送られてくるコードを入力してログインできるという仕組みになります。
と思いがちですが、答えは簡単で、
仮にパスワードが他の誰かにバレたとしても、
登録されている携帯電話を持っていないとログインできなくすることで、
赤の他人に悪用されるリスクを減らしているからなんですよね。
スマホが普及してから、ざっくり2016年頃からだったと思いますが、
本人確認の際に、携帯電話番号を登録するWebサイトが増えています。
身近なところだと、
- 楽天・・設定による
- Amazon・・設定による
- 楽天銀行(ネット銀行全般)・・設定による
- ライン
- グーグル
あたりのWebサイトも、
携帯番号を登録して、『2段階認証』によって『SMS』などで認証をするように変わってきています。
似たような言葉に『多要素認証(たようそにんしょう)』というものもあります。
- 本人しか知らない情報・・ID、パスワードなど
- 本人が持っているもの・・ICカード、スマホなど
- 本人の身体的な特徴・・指紋、虹彩(こうさい・目)など
などの情報を組み合わせて本人かどうか確認するという方法です。
2段階認証とは？ 『7Pay』でクレジットカードの不正利用が発覚
なぜに『2段階認証』が話題になっているかと言えば、
2019年7月1日から『セブンイレブン』で使えるようになった、
電子決済『7Pay』で不正利用が発覚したからなんですね。
1日にサービスを開始したばかりの「7pay」だが、3日頃から登録したクレジットカードから不正にチャージされ、見に覚えのない高額決済があったという被害報告が相次いだ。セブン・ペイによると、4日6時時点で約900人に不正アクセスされた疑いがあり、被害額は約5500万円に上るという。
で、記者会見に臨んだ『小林強社長』の発言が話題になってしまって。
記者会見に臨んだ小林強社長は、セキュリティを高めるための二段階認証を行っていない理由を問われると、「二段階認証…」と考えるようなそぶり。記者が二段階認証について説明をすると、「二段階うんぬんというのと同じ土俵で比べられるのか、違うあれかというのは、私自身が認識しておりません」などと答えた。
「7pay」不正ログイン被害で話題「二段階認証」とは？
『Twitter』を始めとする『SNS』であっという間に全世界に広がって。
わかったこと
・セブンペイ社長は2段階認証知らない
・セブンの脆弱性チェックはざる
・ほかのサービスとの連携が足を引っ張ってる
・被害者は被害届出さないとあかん— 篠原修司＠福岡 (@digimaga) 2019年7月4日
わかったこと
・セブンペイ社長は2段階認証知らない
・セブンの脆弱性(ぜいじゃくせい)チェックはざる
・ほかのサービスとの連携が足を引っ張ってる
・被害者は被害届出さないとあかん
経営者はよく「ガバナンス」を口にするが、ガバナンス（統制）とは、端的に言えば説明責任が果たせるようにすること。7pay事件の最大の問題点はそこ。ITベンダーに「利便性の良いものにしろ」と丸投げし、セキュリティ上のリスクを経営として認識し判断していないから、「2段階認証？？？」となる。
— 木村岳史(東葛人) (@toukatsujin) 2019年7月4日
経営者はよく「ガバナンス」を口にするが、ガバナンス（統制）とは、端的に言えば説明責任が果たせるようにすること。7pay事件の最大の問題点はそこ。ITベンダーに「利便性の良いものにしろ」と丸投げし、セキュリティ上のリスクを経営として認識し判断していないから、「2段階認証？？？」となる。
友人の家の鍵はちょっと特殊で、その友人の電話番号を入力すると自由に新しい鍵に交換できちゃいます。つまりその友人の家の場所と電話番号知っているだけで簡単に家を奪えちゃいます！
今回のセブンペイの件がどれくらいヤバイかをITに詳しくない人にも理解しやすいように例えてみるとこんな感じ。
— 米村歩@日本一残業の少ないIT企業社長 (@yonemura2006) 2019年7月4日
友人の家の鍵はちょっと特殊で、その友人の電話番号を入力すると自由に新しい鍵に交換できちゃいます。つまりその友人の家の場所と電話番号知っているだけで簡単に家を奪えちゃいます！
今回のセブンペイの件がどれくらいヤバイかをITに詳しくない人にも理解しやすいように例えてみるとこんな感じ。
専門家による『7Pay』の問題点なんて記事もあがってきて。
【7payクレカ不正利用】アプリ問題点の検証記事書きました▲電話番号・生年月日でパスリセット▲第三者アドレスに送信可能▲二段階認証なし／7payクレジットカード不正利用：第三者乗っ取りがあり得る致命的な2つの弱点(三上洋) – Y!ニュース https://t.co/eTfZKvScs7 pic.twitter.com/OPM6jeusLm
— 三上洋 (@mikamiyoh) 2019年7月3日
【7payクレカ不正利用】アプリ問題点の検証記事書きました▲電話番号・生年月日でパスリセット▲第三者アドレスに送信可能▲二段階認証なし／7payクレジットカード不正利用：第三者乗っ取りがあり得る致命的な2つの弱点
システム開発社長による原因推測の記事もでたりして。
7pay(セブンペイ)の騒動から考えるシステム開発で必要なあれこれ
考えられる原因
・必要な予算をケチっている
・十分な開発期間を設定していない
・経営者がITを軽視している
・多重下請け構造の問題点
ついには『経済産業省』からもツッコミが入って。
コード決済サービスにおける不正アクセス事案を踏まえ、決済事業者等に対し、不正利用防止のための各種ガイドラインの徹底を求めました
『セキュリティ』を軽んじたばかりに、まさに『ボロボロ弱小チーム』になってしまったのでした。
『2段階認証』だけじゃない。知っておきたい『セキュリティ』の話
先ほどの記事にも記載がありますが、『7Pay』に関しては下記のような問題があったそうです。
- 電話番号・生年月日でパスリセット・・簡単にリセットできる
- 第三者アドレスに送信可能・・第3者にメールしてパスワードを書き換えられる
- 二段階認証なし
そう。
『セキュリティ』というのは何も『2段階認証』だけではなくて、
それはそれはたくさんの要素から成り立っているわけです。
『セキュリティ本』ではおそらくもっとも有名な『徳丸本』をざっくり抜粋すると、
- SQLインジェクション・・データを書き換えたり
- XSS・・サイトを書き換えたり
- CSRF・・パスワードを変更させられたり
- フィッシング・・カード情報抜き取ったり
- なりすまし・・本人になりすましたり
- 盗聴・改ざん・・データ盗んだり書き換えたり
ほかにもたくさんの情報がまとめられていて、
とにかくたくさんの『セキュリティリスク』が存在します。
Webサービスを作れるプログラミング言語の一つ『PHP(ピーエイチピー)』で作られた『Laravel(ララベル)』などどは、これらの『セキュリティ』も考えられてつくられていますが、
『Laravel』使ってさえいれば100%安全だぜ、とは言えるわけもなく、
『プログラマー』や『システムエンジニア』が全てを網羅できているかというとそういうわけでもなく、
『セキュリティチェック』に特化したシステム会社もあったりします。
『セキュリティチェック』はもちろんタダではなく、うん百万円かかったりもします。
『2段階認証』まとめ 『セキュリティ』は地味だが致命的
今回の『7Pay』問題で、
普段は地味でほとんど誰も気にもとめない『セキュリティ』に久しぶりに光があたりました。
しっかりとしたサッカーチームをつくるには、
しっかりとした時間とトレーニングが必要なように、
システム作りもおいそれと簡単に作れるわけではないという事を、
もっと大勢の人が認識できたらいいと思います。
最近では高校生の授業科目に『情報』という分野があるそうですが、
そこでもぜひ今回のような『セキュリティ』の重要性、リスクなどをたっぷりと扱ってほしいなと思います。
アオキのツイッターアカウント。
この記事へのコメントはありません。