チップス
どんぐり大学卒、一般企業の情報システム部で働く若手エンジニア。
入社1〜3年目らしい悩みを抱えつつ、日々の運用やセキュリティ対応に奮闘中。慌てんぼうだが素直で吸収力が高く、ボスに鍛えられながら着実に成長している。
ボス
セキュリティ、インフラ、運用の修羅場をくぐってきた歴戦のエンジニア。サイバーセキュリティラボの所長でボスと呼ばれている。
現場視点と経営視点の両方から、本当に使えるセキュリティとキャリア戦略を叩き込む。口は悪いが面倒見はよく、若手育成と実践的な情報発信に力を注いでいる。
@boss_sec_labo
「BIツールって分析用のシステムでしゅよね？そこに不正アクセスするんでしゅか？」
「データ分析ツールには顧客情報の核心が集まっている。攻撃者にとって効率よく大量データを取れる標的になり得る」
チップス顧客の購買履歴や決済金額まで流出したんでしゅか！？それは困るでしゅ……
ボスしかも第三報で情報の一部が外部に公開されていることが確認された。「可能性」ではなく「確認」の段階だ。
2.5次元アイドルグループを運営するVOISINGが、データ分析システム（BIツール）への不正アクセスを公表しました。
顧客情報のダウンロードが確認され、さらに一部情報の外部公開も確認されています。
VOISINGのサービス利用者は、公式連絡の確認と個人情報の悪用への備えが必要です。
オススメ求人・フリーランス案件
【脆弱性管理・診断基盤の内製化推進】東京都（フルリモート）／ツール導入・セキュリティ運用
【セキュリティ企画推進・コンサルタント】大阪（リモート併用）／セキュリティ戦略・ポリシー策定
【セキュリティ基準準拠・運用改善支援（NIST・ISMS）】豊洲（リモート併用）／PMO
【社内セキュリティ技術コンサルティング】東京・渋谷（常駐）／インフラ全般・設計レビュー・最新技術調査
【セキュリティサービス基盤の環境改善支援】東京・武蔵小杉（フルリモート）／AWS・マルチクラウド・構成改善
【インフラセキュリティ・脅威検知構築】東京・六本木（常駐）／Azure・ゼロトラスト・AD
【Zscalerゼロトラストネットワーク運用】東京・調布（リモート併用）／設計・構築・運用
【特権ID管理システム導入支援（Secret Server）】東京・京橋（常駐）／要件定義・設計・構築
【Splunk CloudおよびSplunk ES環境におけるSOC運用】全国（フルリモート）／セキュリティログ解析・監視
【銀行向けサイバーセキュリティチーム支援】中野（原則オンサイト）／AI悪用対策・SOC・CSIRT・インシデント対応
社内SE【年収700～1500万円】セキュリティ・インフラの構築・運用
【東証プライム】情報セキュリティマネージャー候補・事業成長支援（850～1100万円）
【年収500〜800万円】日立グループ｜自動車サイバーセキュリティコンサルタント（横浜・在宅可）
【三菱地所グループ】セキュリティエンジニア（マネジメント・エンジニアリング）年収628〜1200万円
【社内セキュリティ推進室長】800〜1100万円｜人材大手ディップ・リモートOK
KADOKAWAグループ向けセキュリティコンサルタント｜個人情報管理・相談対応（テレワーク）
【年収750〜1200万円】グローバル7拠点・プロダクトセキュリティエンジニア（東京）
情報セキュリティ・プライバシーガバナンス スペシャリスト【900～1300万】
セキュリティ・プライバシー基盤構築【600～1000万円】
【1000～2400万円】EDR/エンドポイントセキュリティ領域のリード採用
VOISINGは2.5次元アイドルグループの運営・マネジメントを行うエンターテイメント企業です。
顧客データを分析するBIツール（ビジネスインテリジェンスツール）が攻撃者に侵害され、社内の個人情報がダウンロードされたことが確認されました。
今回の事案の時系列をまとめると以下の通りです。
チップス不正アクセス開始から1週間後にデータが取られちゃったんでしゅね……
ボス攻撃者はまず侵入し、内部を調べてから価値のあるデータを選んで持ち出す。この「準備期間」が検知の空白になりやすい。ただし把握から2時間で遮断したのは迅速な対応だ。
今回の事案では、購買履歴・決済金額という財務情報も含まれていた点が注目されます。
BIツールが攻撃対象になりやすい理由を押さえておくことが重要です。
対象はVOISINGのアカウントサービス・ファンコミュニティサービス・オンラインストアの利用顧客です。
流出した情報の種類は以下の通りです。
| 情報の種類 | 内容 |
|---|---|
| 基本個人情報 | 氏名、住所、電話番号、生年月日、性別、メールアドレス |
| 購買・決済情報 | 購買履歴、決済金額 |
BIツールは複数のシステムから顧客データを集約して分析するためのツールです。
大量の顧客情報を一箇所に集めた構造上、一度侵入されると多くの情報を効率よく取得できてしまいます。
BIツールが狙われるリスクをまとめると以下の通りです。
チップス分析ツールだから本番ほど厳しく管理しなくていいってことはないんでしゅね……
ボスむしろBIツールや分析基盤こそ厳重に管理すべきだ。全部のデータが集まっているんだから。セキュリティの盲点になりやすい領域が今回ついてしまった。
VOISINGはパスワードとアクセスキーの無効化・脆弱性修正を実施し、警察への相談と個人情報保護委員会への報告も完了しています。対象顧客への個別連絡も進められています。
一部情報の外部公開が確認されているため、サービス利用者は以下の対応が必要です。
チップス購買履歴まで流出したのは怖いでしゅが、早めに対応してもらえてよかったでしゅ！
ボス把握から2時間での対応は迅速だったな。情報が外部公開された以上、悪用のリスクは続く。関係者は引き続き警戒を続けてほしい。
オススメ求人・フリーランス案件
【脆弱性管理・診断基盤の内製化推進】東京都（フルリモート）／ツール導入・セキュリティ運用
【セキュリティ企画推進・コンサルタント】大阪（リモート併用）／セキュリティ戦略・ポリシー策定
【セキュリティ基準準拠・運用改善支援（NIST・ISMS）】豊洲（リモート併用）／PMO
【社内セキュリティ技術コンサルティング】東京・渋谷（常駐）／インフラ全般・設計レビュー・最新技術調査
【セキュリティサービス基盤の環境改善支援】東京・武蔵小杉（フルリモート）／AWS・マルチクラウド・構成改善
【インフラセキュリティ・脅威検知構築】東京・六本木（常駐）／Azure・ゼロトラスト・AD
【Zscalerゼロトラストネットワーク運用】東京・調布（リモート併用）／設計・構築・運用
【特権ID管理システム導入支援（Secret Server）】東京・京橋（常駐）／要件定義・設計・構築
【Splunk CloudおよびSplunk ES環境におけるSOC運用】全国（フルリモート）／セキュリティログ解析・監視
【銀行向けサイバーセキュリティチーム支援】中野（原則オンサイト）／AI悪用対策・SOC・CSIRT・インシデント対応
社内SE【年収700～1500万円】セキュリティ・インフラの構築・運用
【東証プライム】情報セキュリティマネージャー候補・事業成長支援（850～1100万円）
【年収500〜800万円】日立グループ｜自動車サイバーセキュリティコンサルタント（横浜・在宅可）
【三菱地所グループ】セキュリティエンジニア（マネジメント・エンジニアリング）年収628〜1200万円
【社内セキュリティ推進室長】800〜1100万円｜人材大手ディップ・リモートOK
KADOKAWAグループ向けセキュリティコンサルタント｜個人情報管理・相談対応（テレワーク）
【年収750〜1200万円】グローバル7拠点・プロダクトセキュリティエンジニア（東京）
情報セキュリティ・プライバシーガバナンス スペシャリスト【900～1300万】
セキュリティ・プライバシー基盤構築【600～1000万円】
【1000～2400万円】EDR/エンドポイントセキュリティ領域のリード採用
