この記事は大学のサイト担当者、ワードプレスなどオープンソースのCMSを用いてコーポレートサイトを運営している企業向けの記事です。
1．不正アクセス事例紹介
朝日大学は２０２２年１月８日に大学の教員4名が、不正者に自身のメールアカウントを侵害され、個人情報が含まれたメールが不適切に閲覧されたという事態を発表しました。
２０２２年１月８日の報告によると、海外からのIPアドレスによって、特定の大学の教員のメールアカウントが不正にアクセスされ、結果として本人に成りすますメールの送信及び閲覧が行われたことが判明しました。侵害されたメール内容を調査した結果、学生や他の教職員、さらには学外者の個人情報が含まれるメールが閲覧されていたことが確認されました。
朝日大学への不正アクセスによる個人情報の流出について>>
2．不正アクセス事件の詳細と被害内容
朝日大学の発表によると今回の不正アクセスの要因は、教員が不審な電子メールによるアカウント更新と間違えて開いてしまったことが要因となっています。該当の教員たちは、このメールが誘導したフィッシングサイトにアクセスし、自身のアカウント情報を入力してしまったようです。
また、閲覧されたメールを調査した結果、学生・教職員及び学外者の個人情報が含まれていたと報告。
不正に閲覧されたメールの詳細な件数については発表はありませんが悪用された事実はなかったとのことです。配信されたなりすましメールの詳細についても発表はありませんでしたが、教職員から謝罪連絡で終了した報告から大きな問題には発展しなかったと推測きます。
3．不正アクセスの原因と対策
今回の原因は教職員が受信したメールよりフィッシングサイトにアクセスしメールアカウントのアカウント情報を入力してしまったことが原因とのこと。
今後の対策としては情報セキュリティの教育・研修の強化による意識向上とメールサーバに多要素認証を導入し再発防止を防ぐと発表されています。
メールフォームに隠れた脆弱性も本件のようなトラブルを引き起こす可能性がありますので下記記事を参考に適切な対策を実施してください。
4．まとめ
今回は、フィッシングメールに騙されてしまったことが要因となり不正アクセスをされてしまいました。
フィッシングメールであれば「気を付ける」ことは可能かもしれません。しかし、これがメールではなくサイトの遷移先だったらいかがでしょうか？
自社のサイトを改ざんされアカウント情報をだまし取るフィッシングサイトのリンクに改ざんされることは充分にあり得ます。
自らが加害者にならないように、自社の管理されるサイトのリスクを把握してください。
