2024/07/03 04:57
m7g6s
"一本化して弱点を作ってしまった"←まあこれよな、落ち度があるとしたら。しかもその情報をネット上で発信したせいで標的にされたまであるんじゃないか。移行中だったお陰でニコニコの動画データなどは無事だったが
2024/07/03 08:25
TakamoriTarou
「ソーシャルハッキングや、このために温存したゼロデイ攻撃を駆使され、標的型攻撃をされると、全くの無傷でいられる企業(略)世界中どこにも存在しません」「一本化して弱点を作ってしまったのは不味かった」
2024/07/03 08:51
houyhnhm
認証サーバ周りがやられてるのは、まあ、ニコ動ID関係がやられてるので。流出考えるとAdmin取られてそうで、DDoSから始まってそうなんで脆弱性使われたかなとかは思う。
2024/07/03 09:01
toaruR
なんか根拠あんのこれ？(・ω・)
2024/07/03 09:14
ymm1x
“システムは必ず破られると考えて、それ以上被害を広げないこと、一つのシステムが破られたからと言って他のシステムに波及しないようにすることなどを意識する必要がありました。”
2024/07/03 09:20
izoc
これはいいエントリ。セキュリティはこれやっておけば安全がないからしんどいよね
2024/07/03 09:22
jtw
こういうの書くと、その人の知識レベルが見えてきて面白い。社内システムの実態を知る人々はなかなか書けない内容。こんな風に思われてるのね。
2024/07/03 09:22
gnt
お。エンプラちょっとわかってるっぽい解説増田。
2024/07/03 09:23
wata300
ﾅﾙﾎﾄﾞ! ｶﾝｾﾞﾝﾆﾘｶｲｼﾀ!
2024/07/03 09:25
dekaino
「経営判断が悪かった」そうだよね。悪くなかったとしても経営者は最終的に結果責任を負うわけだけど、今回のケースは能動的に経営判断が悪いand/or遅いだったよなあ。
2024/07/03 09:28
kinaco68
チョットワカル=森羅万象を網羅している　の隠語
2024/07/03 09:29
sevenspice
一つ言えることは…エンジニアはこの件に関してはカドカワがサービスを復旧させ公式に全容の発表があるまでは静観していたほうが良いということだろう。この出来事はついでしゃばりたくなる魅力がありすぎる。
2024/07/03 09:34
catan_coton
結局セキュリティと利便性はトレードオフだよなあ。認証をローカルから統合認証基盤に投げてたらまだマシだったのかな゙。あとはセキュリティ意識の低い社員がアホな事してたのも一因なので、社員教育よね。
2024/07/03 09:36
el-condor
認証サーバが破られた可能性は高いだろうかとは思うが他は大体良さそう/KADOKAWA規模で自前ディレクトリ運用は今時考え難く、破られたのはサーバ自体というより強権限者のIDだった可能性が高いのでは。
2024/07/03 09:46
aoiro-cake
EDRを導入していたかどうかは気になっている。まあ公になる可能性は低そうだけれども。
2024/07/03 09:46
ata00000
重箱の隅で申し訳ないが「SaaS(さーず）」 は病気の方のSARSと混同するから読みは「さーす」なんだと昔聞いたが、最近では違うのかな？
2024/07/03 09:47
mujou03
やはり責任は経営者にあるということになる 高い報酬はそのためにあるようなものだよね
2024/07/03 09:48
dec123456789
KADOKAWAが悪いのは侵入されたあとのユーザーや関係者への対応でしょ。『調査中』の一点張りでどういった情報が流出したか、誰に影響するのかを全く公表しなかったからな。
2024/07/03 09:53
ET777
ありがとう／結果、わからないが関係者（今回だけでなく標的になりそうな）はがんばってほしい
2024/07/03 10:00
tpircs
こういう想像もある、くらいに読んだ。同意するのはどこの会社であってもこういうリスクはあるってとこかな。ソーシャルハッキング含めて考えるとセキュリティ対策は無限に必要になるし。
2024/07/03 10:03
n_y_a_n_t_a
"ただし、繰り返しになりますが、犯人が悪いからやられたのです。レベルが低いからとか関係ありません。" でも実際レベルは低かったと推定できるわけで。誰が悪いかの議論は不要だけどね。
2024/07/03 10:06
hetarechiraura
nakamuraが仕事上の手間を減らすためか知らんが業務サーバーに本来入れてはいけないN高生徒の個人情報リスト（休学歴や校内特記事項等の機微情報含む）入れてて今回爆裂してるの、一人でもカス居たら終わるのしんどいな
2024/07/03 10:18
password1234
“私はプロではないのでわからないので、間違っているのは当たり前だと思って読んでください”を素直に受け入れるとして、これつまりどういう読み方をすれば良いという意味なんだろう
2024/07/03 10:21
Sakana_Sakana
概ね賛同するが、クレジットカード会社へカード情報を送る所にカード会社以外へ送る仕掛けをされてしまったらカード情報流出するので未だ信頼してない。経営者として支離滅裂なnewspicks批判は悪手だったと思う
2024/07/03 10:30
quwachy
ハッシュ化してるのは信じるけど、ソルトもちゃんと入っているのか。塩なしだと意味ないぞ。
2024/07/03 10:44
tendon_katsudon
パスワードやクレジットカード情報は普通にいけば大丈夫なんだろうけど、対応が後手後手で信用なくなっちゃってるからなぁ
2024/07/03 10:50
kojimamasahiro
一番ダルいのが、まったく関係ない会社でウチは大丈夫か！？ってトップダウンで緊急対応させられる現場だろうなあ。しょうがないんだけど、犯人のせいで今までなかったコストが発生するの、イヤだなあ
2024/07/03 10:52
soreso
タイタニック
2024/07/03 10:55
prograti
KADOKAWAとは関係ないけど各認証基盤でベストプラクティスが公開されているので、まずはそれを遵守した方が良いと思います。Entraならこれとか learn.microsoft.com
2024/07/03 10:59
hatebu_admin
わーくにの大半のあいちーは角川よりレベル低いと思うで/Azure Information Protection とかやっぱ必要なんかねえ。もっと使い勝手良いと良いのやけど
2024/07/03 11:08
dazz_2001
セキュリティは使い勝手とバーターだからなぁ。鍵を何重にも付けたらそりゃ安全性は高まるが、そんなんじゃ不便過ぎるし…
2024/07/03 11:13
mouki0911
関係ないけどSをスって言ったりズって言ったりするのなんなのかな。
2024/07/03 11:16
ochimusha13
「標的型攻撃（不特定多数ではなく、名指して攻撃すること）をされると、全くの無傷でいられる企業や団体は、恐らく世界中どこにも存在しません。」本当かな？だったらAWSやGoogleは傷だらけなのではと思うんだけど。
2024/07/03 11:23
nmcli
VPN は拠点間をつなぐ地下通路なので、それが破られるのはマズすぎる。破られた時の被害尺度が想定しにくくなるのも問題だよな。
2024/07/03 11:27
mas-higa
タイトルのチョットワカルは何に掛っているのか? 一般論としてセキュリティのことチョットワカルってこと?
2024/07/03 11:32
mayumayu_nimolove
どうでもいいけどひろゆきってほんと世渡り上手いよな。
2024/07/03 11:38
thongirl
本筋と関係なくても、何をいいたいのかわからなくとも、一般論の羅列をまとまった文章で書くとはてなでは褒められる。そしてそれに対して一般論をコメントする虚無
2024/07/03 11:44
Baybridge
「ウチは大丈夫か」って経営者が騒ぎ始めるのは悪いことじゃない。「コストかけずに」とか言い出さない限り。／担当者がダルイのは同意。
2024/07/03 11:44
mkzsdisk
今KADOKAWAの社員さんたち何してるんだろうな…。技術者は駆り出されてるとして、その他の営業の人とか。自宅待機？転職活動？
2024/07/03 11:45
ssfu
「チョトワカル」は、もうすっかりめっちゃ詳しい宣言になってるな。
2024/07/03 11:54
oakbow
PaaSは③に該当するかな。IaaSはまっさらなマシン環境でPaaSはプログラムコードを入れればすぐ動く状態までセットアップされた環境をいう。サービスの提供は自分でやる必要があるのでSaaSとは明確に違う。
2024/07/03 11:55
misafusa
個人がハックされた話なら『犯人が悪い』で終わるが、余所様の情報を甘い脇をつかれて盗まれたなら責められて仕方ない。が、それ以上にわかっている流出の有無を『不明』と嘘をつき続ける体質が叩かれているのでね？
2024/07/03 12:01
chocolate0521
エンジニアのレベルが低いからとか関係ありません→あるやろ（無くはないやろ）。ニコニコサービスは明らかにAmazonよりセキュリティ甘いやろ(´Д｀)めう
2024/07/03 12:04
hazel_pluto
公式発表まで待ってたら、興味無くなるから、今解説してほしい。
2024/07/03 12:06
atsushieno
元ネタの延長線上で解説してあるやつだ / 「ウチは大丈夫か!?」って言われたとき緊急対応「作業」が発生しているとしたら、それはやっぱり出来てないのでは。即時対応できるよう文書も整備されているはずだし。
2024/07/03 12:11
awkad
むしろエンジニアのレベル高い会社ほど危険だぞ。インターネット接続強烈制限、PCはシンクラでリモデのみ、本番アクセス不可オペレーターのみアクセス可、みたいなのキラキラエンジニア様は耐えられないからね
2024/07/03 12:19
daira4000
納得感ある内容だった。角川ぐらいの規模だと1ITエンジニアがどうこう言ってもすぐ変わるわけないしな。
2024/07/03 12:19
iheettkun
情報セキュリティの敗北史がタイムリーな話になるとは。結局、常に発展途上のジャンルなのでピンポイントで狙われると確実な防御手段は存在しないんだよな。GoogleやAmazonですら内部文書や顧客情報が流出してるわけで。
2024/07/03 12:24
poponponpon
新しい環境への移行が決まると旧環境をわざわざ触りたくなくなる感覚はあるなぁ。もうほっといてもいいでしょー感は出ちゃう。
2024/07/03 12:25
santec1949
読んでないが、セキュリティは破られるもんだし、今後益々選択の余地なく重要情報を誰かに預けなきゃ社会生活成り立たないし、企業は膨大なコストを支払わなきゃだし、必然、もう世界無理、ってなるな。
2024/07/03 12:33
NOV1975
プロではないっていう嘘必要ないよねってのと、一般論を書いてるふうだけどなんとなく中に関わってた人の匂いを感じる
2024/07/03 12:34
sionsou
正直このタイミングで入社した新卒ITエンジニアはかわいそうだなぁと毎回思う。いい経験積めたとみるか、無駄な作業や心労を抱えて生きるのか。自社でこれが起きたらボーナスでももらわんとやってられないくらい辛い
2024/07/03 12:40
hevohevo
“全くの無傷でいられる企業や団体は、恐らく世界中どこにも存在しません。”　まさしく。今はいかに被害を素早く検知して被害を最小にするかがポイントになってる。
2024/07/03 12:41
nande_nande_boy
「チョットワカル」 外人？
2024/07/03 12:41
poko78
他人事じゃないから、対策を急遽迫られる現場は仕方ないかな。
2024/07/03 12:49
honma200
“オンプレミスの認証サーバが破られている” ActiveDirectory破られちゃったってこと？
2024/07/03 12:49
PrivateIntMain
単一障害点はよろしくないけど、複数系統でちゃんと同期しながら(同期しちゃいけないものを切り離すのも含む)運用しようとすると管理コストが跳ね上がるので、素人目では何が最適なのか全然わからない。
2024/07/03 12:55
beginnerchang
技術者の技術の有無というのは、発生した被害の大きさ/人数で判断するべき。実務に損害が出てしまったら、キラキラプレゼンやGithubのスター数など糞の役にも立たない
2024/07/03 12:55
manjirou99
ゼロトラストはどうなんかねえ
2024/07/03 12:55
taguch1
情報は漏れる前提で考える。その方向で考えると、今はもう負け戦確定であとは撤退戦だし、ゼロトラストベースの会社に転職活動しつつ、引っ越しするんじゃないかな。
2024/07/03 12:55
natu3kan
破られる前提で破られても被害が最小限になるようにシステム組まないとならない感じなんだな。大人数いると全員がセキュリティを徹底するの難しいよな。
2024/07/03 12:58
nicht-sein
利便性とセキュリティはバーターになる事が多いので、どこまでセキュリティを担保するかは経営判断になりがち
2024/07/03 13:00
queeuq
チョットワカル(デキル)の意味を分かったうえで書いてるのか字面で分かった気になっているのか本文からは読み取れないレベルの内容だった。
2024/07/03 13:01
ya--mada
KADOKAWAコネクテッド(KDX)の過去記事とか読んでるかな？ググれば出て来るし、KDXの元社長はVMwareだからオンプレシステムがEvoRailが多いかもしれんよね。とか、わかる。
2024/07/03 13:09
cyph
んん〜？お前ほんとにチョットワカルか？
2024/07/03 13:12
clample
「ウチは大丈夫か？」なんて言う経営者は優秀だよ。アホは「システム担当置いてるからウチは大丈夫。予算？人件費かけとるやろ」と思ってるから
2024/07/03 13:14
d0i
ﾁｮｯﾄﾜｶﾙってことは「できる」ってこと？（本文未読
2024/07/03 13:17
bml
結局は怪しいメールを開いたとか、私用のPCやUSBメモリ繋いじゃったアナログなことなのかな。
2024/07/03 13:17
matsui
“出てきた情報から見ると、この管理するシステムと認証するシステムがやられたと思われます。”
2024/07/03 13:20
takeishi
ユーザーのメールアドレスとパスワードが（キーロガーとか偽装サイトとか推測で）漏れるとやばい事になるシステムは多い。GmailやAmazonだってデフォルトはパスワードだけだし。二段階認証やパスワードレスにするべし
2024/07/03 13:25
Muucho
ゼロトラストにしてもハードかソフトかどこまでやるかで無限に金がかかるので何も起こらないうちは生産性ゼロのセキュリティは真っ先に切られる。そしてヤられる。一本化や集約化はしない。バックアップは取る。これ
2024/07/03 13:28
wonodas
モウチョトワカテもいいんじゃないか
2024/07/03 13:30
tattyu
最近はクラウド高いからオンプレに回帰してるって話はあれは嘘だったのか。角川の落ち度は、お金渡しちゃった事と、SNSの立ち回り、漏れたデータの把握と発表。
2024/07/03 13:39
kazumi_wakatsu
“結局社内のITシステムに十分な投資（経営陣のトレーニングまでを含めた）をしなかったという月並みの話”
2024/07/03 13:44
beerbeerkun
「標的型攻撃（不特定多数ではなく、名指して攻撃すること）をされると、全くの無傷でいられる企業や団体は、恐らく世界中どこにも存在しません」Xとかはてブでドヤってるやつは信用ならんのよね
2024/07/03 13:48
kalmalogy
“ゼロデイ攻撃（まだ誰も報告していない不具合を利用した攻撃）を駆使され、標的型攻撃（不特定多数ではなく、名指して攻撃すること）をされると、全くの無傷でいられる企業や団体は世界中どこにも存在しません”
2024/07/03 13:55
kaiton
よくITのことがわかっている方の解説、侵入経路や根本原因は公式の詳報を待つしかないね。
2024/07/03 14:01
napsucks
せめてこのぐらいの理解は欲しいところ。それにしても公式情報無さすぎてモヤる。角川がしょぼかったのであればいいんだけど、きっちりやっててやられたのであれば一大事なのでね。
2024/07/03 14:01
Lhankor_Mhy
ゼロトラストみたいな話は、こういうことだったのか。
2024/07/03 14:23
ebibibi
書いてあることは色々と変。でも、このレベルでもう普通の人たちはよくわからないということなんでしょうね。それだけシステムインフラやセキュリティは難しい分野であり、やられるとやばく、狙われたらやられる。
2024/07/03 14:24
wahgszacr
“） 自社の強みの部分だけを残して、非”
2024/07/03 14:25
yamazakicker
数ヶ月前にホッテントリしてた「情報セキュリティの敗北史」せっかく買ったのに積んでたからこれを機会に読むか〜　今回の件でセキュリティに対し襟を正そうと思った
2024/07/03 14:32
trace22
貴様、チョットワカルではないな！
2024/07/03 14:58
ogawa0071
なんか文章がカワンゴさんっぽい。自社の状況を匿名で伝えてる？内容には同意。
2024/07/03 15:26
transceiver101
どうせカドカワも実態は正確には出さない。ので、結構可能性あるなと思うエントリーは嬉しいよ。オンプレ側が外部公開されていて、直でサーバ内部に入れてroot昇格出来た可能性もあるね。
2024/07/03 15:34
kniphofia
長い読まない
2024/07/03 15:52
kirarapoo
これを読んで新たに理解できたって人おるやろか
2024/07/03 15:54
moyasi45
AIが書いたみたい
2024/07/03 16:08
dot
オンプレはセキュリティ確保する上で必要なノウハウが膨大過ぎるから、できるだけクラウドに置いてその環境の定番のセキュリティ対策をした方がいいと思うし、各方面に話を通しやすそうな教材を提供してもろたな。
2024/07/03 16:24
spark7
ハッカー側はネットワーク構成が杜撰だったと指摘してるので、「レベルが低くない・防ぎようがない」は無いわな。 『自社のネットワークからアクセスするときは、認証を甘くすると言う仕組みです』
2024/07/03 16:36
otihateten3510
セキュリティリスクしんどいよね。突破できた時の影響がデカすぎるのよ。
2024/07/03 16:41
shidho
最近のランサムウェアの話を聞いていると、仮にバックアップ取っていても、暗号化開始以前から感染している可能性があるので暗号化開始以前の書き戻しでは即復旧にならないらしくて頭かかえてる。
2024/07/03 17:15
megumin1
大谷翔平の違法賭博疑惑のときも自称専門家が根拠のない推測記事を書いて、はてぶで「これは納得できる」というコメントが多かったね。また君たちは踊らされるのね b.hatena.ne.jp
2024/07/03 17:53
splitaces
一般のエンジニアの能力は関係ないだろうが、インフラやセキュリティを管轄するリーダーの責任は問われるでしょう。こういうのはオペレーションではなくて仕組みの話のはず。
2024/07/03 17:54
HtandJING
本文入ったところでいきなり『(サーバー)はシステムを提供するコンピュータです』の次の段落で『(サーバーは)サービスを提供してくれています』って書いてあるのでレビュー指摘入れまくりたくなっちゃう
2024/07/03 18:23
dorje2009
クレジットカード情報はおそらく大丈夫って、そうなの？非保持でも盗まれるパターンはあるけどKADOKAWAはそこも安全と確認済なんだろうか？ blog.tokumaru.org
2024/07/03 19:28
furutanikaede
ライマスダーバルス　こうりん
2024/07/03 22:14
ys0000
どうやろな。メールや水飲み場からのバックドア設置の可能性もあるし、攻撃経路は現時点では特定できないのでは？報道内容から内部侵入は確定だけども。
2024/07/03 22:15
Eizo0000
「腹いせで全てのデータを流して、暇人が解析する可能性はあります。」 →Twitterで嬉々として流してる人もそうだがこの存在がめっちゃやっかいな気がしている。
2024/07/03 22:37
toyoshi
チョットワカルが本当にチョットワカルの意味で使われてる違和感よ
2024/07/03 22:40
soratomo
コウカイ、サキニタタズ。辛い話だ。投資を求めようにも教授レベルの「肩書き」がないと説得するのムズすぎる。
2024/07/03 23:04
kazuppo01
チョットデキルを書く人は皆優秀。元エントリとの差よ。。。 VPN前提の接続はどの企業でもゆるいセキュリティになってるので、ここを守るの大事よね
2024/07/03 23:08
pixmap
一般的な説明箇所、この増田が独自で判断している箇所、それぞれにところどころツッコミどころがある。「こういう推測をする詳しい人もいる」くらいのつもりで読んだほうがいい。当たってるのは半分以下かな。
2024/07/03 23:08
nabinno
VPN機器を入れている時点でリスク受容しているという認識。オンプレ解消に時間がかかるなら泥臭いがマイクロセグメンテーション化していくしかない。
2024/07/04 00:54
confi
じゃあ求人700万は適正なんだな
2024/07/04 02:37
kibitaki
なんでいっちょかみしたい増田がこんなにぼこぼこ出てくるのか。公式の情報出てから分析なりしろ／どうしても言いたいんだろうけど経営陣のトレーニングなんてシステム投資じゃなくてセキュリティ投資だろう。
2024/07/04 03:09
yoshi-na
角川が本当にどうかはわからないが、サーバーとかシステムとかその辺の仕組みセキュリティの話としてなかなかいい読み物でした
2024/07/04 07:35
tym1101
オンプレだと設定適当でもなんとかなるけど、クラウドやサブスクの流れが出てきているのでそろそろ中小でも怖い
2024/07/04 13:15
nekomottin
勉強になる　これを踏まえてあの会社はこの会社は...と色々考えてみると楽しい
2024/07/04 13:47
pwatermark
VPNそのものが破られたんじゃなくて、ランサムウェア入れられてバックドア仕掛けられて、VPNをバイパスできるようになっちゃった、ってだけだと思うよ 「内部にスパイが居る」状態