日本経済新聞社で不正アクセスが3件判明。開発用クラウドから約183万件、社員メールの乗っ取りも

01発表されている事実

開発用クラウドの件では、10月16日の時点で、漏えいした情報の悪用やシステムの停止、データの改ざんは確認されていないとしています。漏えいが確認された人には個別に連絡するとしています。乗っ取り2件も、個人情報保護委員会に報告済みです。

02読者への影響

日経の社員を名乗るメールは、取材先や取引先にとって開きやすいものです。同社は、日経やグループ会社の社員をかたるなりすましメールが増えるおそれがあるとして、不審なメールは問い合わせフォームから知らせるよう求めています。身に覚えのない添付ファイルや、ログインを求めるリンクは開かず、電話など別の手段で送り主に確かめてください。開発用クラウドの件で対象になった人には、同社から個別の連絡が届きます。

03同じことを防ぐには

1. メールとクラウドのアカウントに多要素認証をかけ、社員全員に徹底する
2. 海外からのログインや大量送信の通知を有効にし、通知が来たら当日中に確かめる。Google Workspaceの件は、Googleからの通知で発覚しています
3. 開発用のクラウドに本番の個人データを置かない。試験には架空のデータを使う
4. クラウドの認証情報（アクセスキーなど）は期限付きにし、使う人と権限を絞る。ソースコードや共有フォルダに書き込まない

開発環境は本番より管理が甘くなりがちです。クラウドの設定や権限を外部に点検してもらう「クラウド設定診断」も選択肢になります。図鑑では、メールセキュリティと訓練、クラウド設定診断のサービスを比べられます。