ネットワーク&セキュリティコミュのUFJ銀行がウィルス付メールを7000人に送信

企業などがメルマガを発行し情報配信するのはもはや古典的マーケティング手段ですが、運用内容は前世紀のお寒い状態が続いているようです。

http://www.ufjbank.co.jp/ippan/oshirase/mail_051216.html

　メルマガなのにMLで運用していて第三者のメールを配信してしまったとか、購読者が参照されてしまったなどの事案は過去に多数ありました。
　詳細は不明ですが、いまどきBtoC企業のアウトバウンドメール配信がウィルスチェックなしで行われてしまうお粗末さにぞっとします。

　Netsky.Pは2004年3月に発見されていますので、シグネチャが間に合わなかったとか、そういうレベルではないはずです。
http://www.trendmicro.co.jp/vinfo/virusencyclo/default5.asp?VName=WORM_NETSKY.P　

　いいかげん、このような無責任な構築や運用をしているところは、やめて欲しいとおもいますね。
　銀行がダメなんだから対処しようがないや・・・っていう誤解が広まるのが一番迷惑です。

　東証の事案でシステム構築会社が名指しで非難されているのと同様に、構築のベンダを「晒し」ても良いのではないかと思います。

コメント(9)

最初
全て
最新の40件

[1] mixiユーザー 12月16日 22:40

＞メルマガなのにMLで運用

別に不思議じゃないと思いますが・・・
ただし、「正しく設定されている」のが前提ですけどね。

[2] mixiユーザー 12月16日 22:43

設定だけでなく、引き渡してからの教育維持、時は監査も。

[3] mixiユーザー 12月16日 23:06

何もかもが「細分化」されてて
いざ何か起こったときに「全部」を把握できてる人間が
現場にいない。
リスクヘッジの為には絶対に必要と思うんですけどね。
そのコストを企業がケチりたいのであれば、
ネットワークに繋ぐべきではないと思います。

[4] mixiユーザー 12月16日 23:14

　問題は、今回の件が、統合を来月に控えている銀行で起こった、ということでしょうね。
　正直なところ、今回の件で、果たしてきちんと統合できるのかしら？　という疑問を持った人も多いはず。

　今更、統合を延期にするのは難しいのかもしれないですけれど、某み△ほ銀行のように統合してから大惨事を引き起こすよりは、今のうちにきちんと体制を整えておいたほうが良いと思いますね。

[5] mixiユーザー 12月17日 03:03

あんときのも真相は単なるオペミスとか。
結局体制不備なんですよね。

[6] mixiユーザー 12月17日 03:54

　先日の富○通がやらかした、東証での大事件も、元をただせば「確認ミス」「オペミス」のレベルなんですよね。
　正直、そういったシステムで動いている会社、そしてそういうシステムを作っている会社が「セキュリティ」だの「ISMS」だの言うのは、かなり怖い気がしますね。

[7] mixiユーザー 12月17日 09:29

>「セキュリティ」だの「ISMS」だの
正直耳が痛い･･･
ホントねぇ･･･

[8] mixiユーザー 12月17日 22:29

　ISMSなどの情報セキュリティ管理において、技術的な対策が占める割合というのは半分も無いのが実情です。技術的な対策が重要でないと言っているのではなく、それ以外にやらなければいけないことのほうがはるかに多いということです。（たとえばISMSの127個ある詳細管理策の多くはコンピュータ専門技術以外の内容です。）

　たとえば、納入されたシステムに対して、「技術的に適切かどうかを専門家に確認させる」という仕組みを作って実行するのがISMSで、これを徹底するのはコンピュータのこと知らなくても大丈夫なわけです。

　専門家であるベンダーに委託しているから大丈夫、という勝手な思い込みで自社のビジネスを危険にさらすのをやめさせたいんですけどね。
　それと当然、システム作りをする側も、それに見合った報酬を得られる社会的なコンセンサス作りをしないと困るわけですが。

　あとISMSで重要視されるのはPDCAサイクルつまり継続的な改善となるわけですが、本当に今回の事故を契機にちゃんと全体的に細かく見てくれるのか不安はあります。たとえば「来月は合併して別の会社になっちゃうからイイや」みたいに放置されたら、何も変わらないわけですから。（下手すると教訓すら残らない）

　送信メールのウィルスチェック有無くらいは、しっかり確認できないとダメですよね。乱暴な言い方をすれば「街の電器店で5000円くらいで売ってるソフト」をケチったことになってしまうわけですから。（サーバ用ソフトは、そうは行かないだろって突っ込まれるかもしれませんが、購読者7000人のメルマガ配信だったらコンシューマPCで中継させてもチェック可能だと思ってます。もちろん最適構成ではありません）
　今回の事故対策で掛かった直接コストや、ブランドイメージ低下はいくらくらいでしょうねえ。（ブランドは来月なくなるからどーでもいい、とか考えてたらたまらんですが）

　余談ですが、金融庁の強い意図が働いてUFJ銀行の合併は3ヶ月延期されて2006年1月となっています。延期の目的はシステム統合のテストの厳格化らしいです。

ログインすると、みんなのコメントがもっと見れるよ