パスワードを忘れた？ アカウント作成
Close
10611 story

エイベックス音楽配信サイトが不正侵入を受ける 47

ストーリー by yoosee
現在問題ないならば原因くらいは教えてほしい 部門より

sinobi 曰く、 " asahi.com、YOMIURI ONLINE、RBB TODAY等の記事によると、エイベックスの運営する音楽配信サイト「@MUSIC」に不正侵入があり、一時閉鎖された様子です。不正侵入による被害は音楽販売用ページへの不正な英語メッセージの掲載で、現在は復旧しており、個人情報の流出などは無いとしています。
avex group holding.からプレスリリース(PDF)が出ていますが、その後に出ている@MUSICからの発表と変わらず「HTMLが不正にアップロードされた」という説明のみで詳細はありません。個人情報に関しては侵入を受けたものとは別サーバに保存されており、そちらへの侵入は無いとしています。 報道記事によると、サイトは6時間(8/3 14:00～20:00)の閉鎖後に復旧したそうです。"

この議論は賞味期限が切れたので、アーカイブ化されています。 新たにコメントを付けることはできません。

エイベックス音楽配信サイトが不正侵入を受ける More

  • W2K＋IIS5.0だって (スコア:2, 興味深い)

    by Fatalwedge (6623) <fatal@fuurai.org> on 2005年08月05日 17時31分 (#777615) 日記
    クラック当時のミラー置いてあるサイト [zone-h.org]貼っておきますね
    （ネタ元・セキュリティホールmemo [ryukoku.ac.jp]）
    普通～～に穴突かれちゃっただけ、だったりして。

  • 目的のために手段がある (スコア:2, すばらしい洞察)

    by Anonymous Coward on 2005年08月05日 17時32分 (#777616)
    iTMSの発表ニュースが小さくなれば、どんな手だってOKなんだい。

  • こういう対応って・・・ (スコア:2, おもしろおかしい)

    by moromama (23126) on 2005年08月05日 20時28分 (#777690) 日記
    <a haref="http://d.hatena.ne.jp/magisystem/20050803"><b>え?</b></a>
    --
    Minder
  • と、思うんだけどなぁ。 起こってしまった後の対応も同じくらい重要なのではないかと。
    対応マニュアルの完備。社員への周知徹底。対策メンバーの選定（各部門ごとの責任者を明確に）。24時間の連絡体制。事前に準備できることはいくらでもあるはず。
    価格コムにせよ、この件にせよ、まったく予想外でどたばたしている内情がありありと見て取れる。徹底的に対策をして、事件を起こさないという発想は、いわゆるレピュテーションリスクという観点からはまったく不十分。
    セキュリティのコンサルなんかでこういったアドバイスのできるところってないのかね。そもそも需要がないか。
  • また、個人情報等を管理するサーバーは、別途セキュリティレベルの高い別サーバーにて管理しているため侵入はなく、個人情報の流出を含め不正にデータにアクセスされた形跡等は一切ございません。

    じゃなくてさ、

    また、個人情報等を管理するサーバーは、別途セキュリティレベルの高い別サーバーにて管理しているため侵入はなく、個人情報の流出を含め不正にデータにアクセスされた形跡等は私どもの調査では一切ないものと考えております。

    って書こうね。だって、rootとられてlog改竄されてたり、という可能性は否定できないわけでしょ？で、後で「やっぱりやられてました」って書くはめになったら、二重の意味で消費者を欺くことになるからね。責任逃れをあらかじめ考えた文章の書き方は気をつけようね。役人はうまいんだけどね。

  • 詳細って (スコア:0)

    by Anonymous Coward on 2005年08月05日 17時22分 (#777605)
    アクセスログを公開せよってことなの？
    「HTMLが不正にアップロードされた」じゃダメで、もっと具体的に手口を説明しなくちゃいけないってことなのかな？

    逆に質問、こういったサイトをハックされた場合、利用者に対して「どんなお知らせ」をすればいいんだろう？

    • Re:詳細って (スコア:0)

      by Anonymous Coward
      **の脆弱性を突かれて、とかってところだろうね。
      あ、当たり前だけど、何が原因なのかが「詳細」ね。
      どこがどういう風にアクセスログの話になるのかがわからん。

    • そりゃもちろん (スコア:0)

      by Anonymous Coward
      「利用者の皆様へ　ハックしませんでしたか？」 ってお知らせするんじゃないかな（笑

    • Re:詳細って (スコア:0)

      by Anonymous Coward
      Q : 何が起こりましたか？
      A : HTMLが不正にアップロードされました

      は全然問題無いんですけど、

      Q : なぜ不正にアップロードされたのでしょうか？

      にセキュリティ上問題の無い範囲で答えてくれないと、
      「HTMLが不正にアップロードされただけだよ」を信じていいものかどうか疑問。
      まぁ

      • CNET でも記事に (スコア:4, 参考になる)

        by Technical Type (3408) on 2005年08月05日 22時49分 (#777744)
        個人情報などを管理しているサーバは、別途セキュリティレベルの高い別のサーバにて管理されていた [cnet.com]というから、トップページはセキュリティレベルが低い事は認めたわけか・・・事件を時系列で追うと
        • 3日朝、日本のWEB改竄被害状況 [fearoot.com]に掲載される。
        • 3日の11:17、TOTORO(トトロ)の自堕落 [hatena.ne.jp]さんで取り上げられる。
        • 3日の11:25、TOTOROさんが連絡を取ろうとしたが門前払いとの事。
        • 3日の14時頃、サイトが「緊急メンテナンス」との表示に。「侵入されたって正直に書けよ」と思った。
        • 3日の15:40頃、2000のIIS 5.0 が Apache/2.0.52 (Unix) に変わっているとのレポート [nantoka.com]あり。
        • おぉ、と思って私が見た時は2000のIIS 5.0だった。しかし、何と
          　改竄されたこの http://atmusic.avexnet.or.jp/baltic.htm は
          　そのまま残った状態でトップページが「緊急メンテナンス」の表示
          だったのには本当にびっくりした。「侵入されたのは判っているし、でも詳細は不明なんだろ、カカクコムみたいにウイルスを感染させる加害者になる危険とか、考えないのかよ！」と思った。
          → いくらパニックっているとはいえ、技術力＆危機管理能力に関して「信じらんね～や」ってレベルだなと思った。これじゃ証拠保全とかはしてないだろう、と思った。
        • 3日の夕方。http://atmusic.avexnet.or.jp/baltic.htm で恥を晒し続ける状況は消えた。
        • カカクコムみたいに当分は閉鎖かと思ったのだが、3日の晩にサイト復活。「おい、無茶するなよ」と思った。この時間で原因究明＆再発防止策なんか取れる訳が無い、再インストールしただけだろ、と思ったから。
        • ただ、3日の夜中に再び「緊急メンテナンス」になったように記憶している。「やっぱりダメか。再開を急いだけど即座に再侵入でもされたか?」と感じた。
        • 4日。iTunes Music Store で話題沸騰な状況なのに、エイベックスのサイトは「緊急メンテナンス」になったり再開したりを繰り返す哀れな様子じゃなかったっけ? 忘れたけど。「株主にもこのまま伏せてていていいわけ?」と思った
        • 4日の19:40に適時開示速報 [nikkei.co.jp]に不正アクセスの件が公表される。
        • 4日20時27分、朝日で記事になる。
        • 5日1時36分、読売でも記事になる。
        シェア
        親コメント

        • Re:CNET でも記事に (スコア:3, 興味深い)

          by Technical Type (3408) on 2005年08月05日 23時37分 (#777767)
          ちょっと訂正。

          > 技術力＆危機管理能力に関して「信じらんね～や」ってレベル

          技術者はどうすれば良いかはおおむね判っていたが、技術の判らない管理職が「サイト停止がどれほど経営にインパクトを与えるかも判らないお前が私の指示に反対するのか？　最短時間で直ちにサイト再開だ、これは命令だぞ！！」と会議机を拳で叩いたためにああなった、に一票。

          シェア
          親コメント

          • Re:CNET でも記事に (スコア:2)

            by Technical Type (3408) on 2005年08月07日 0時09分 (#778347)
            下手なプロモーションビデオよりずっと興味深い一連のドタバタ劇でしたが、謎だった部分を推理してみました。まあ、あくまで「下手な考え　休むに似たり」な内容ですが・・・
            • エイベックス側はサーバ管理者日誌 [nantoka.com]さんの所で、自社サーバー侵入の件が話題にされている事を把握していた(すなわち、誰かが気づいて報告していた)
            • サーバ管理者日誌さんに、Windows 2000 + IIS5.0 が Apache2.0.52+PHP4.3.7 に変わった事を指摘された。
            • 「これは痛い指摘をされた！」という事になった。サーバーの種類を変えるというのは、「クラックされました」とPRしているような物だからだ。これでは「緊急メンテナンス」で押し通すという作戦が頓挫する。
            • それで慌てて、とにかくWindows 2000 + IIS5.0に戻したのだろう。 (もしかすると、侵入されたサーバーをそのまま接続し、トップページだけ「緊急メンテナンス」にして、必死で調査を続けていたのかも)
            • 改竄されたこのページ http://atmusic.avexnet.or.jp/baltic.htm が再び見れる状態になったのは・・・やはり、うっかり削除せずに戻したというより、すぐに再侵入された、の確率が高いと思う。
            いずれにせよ、自社名が「日本のWEB改竄被害状況」に載っているという緊急事態にエイベックスの誰も気がつかず、せっかく指摘してもらってもうまく対応できなかったという事であれば、セキュリティーの専門知識のある会社にお金払って頭を下げて知恵を請い、教わった通りに実行する、という以外にセキュリティー向上の即効薬は見出せないかな、と思います。
            シェア
            親コメント

        • Re:CNET でも記事に (スコア:0)

          by Anonymous Coward
          2005/08/02 11:35 JST　JPドメイン　Web改竄速報 [izumino.jp]に掲載される

      • Re:詳細って (スコア:1)

        by greentea (17971) on 2005年08月05日 17時57分 (#777638) 日記
        > 「管理者アカウント漏洩の疑い」とか、
        ぶ、部長！パスワードは人に教えるなとあれほど(ry

        > 「利用していたCMSにXSS脆弱性があって」とか、
        部長！だからセキュリティ上問題ないと何度も何度も(ry

        > 「○○をアップデートしてなくて」とか、
        部長をバージョンアップしてくださいorz

        # よくありそうな例でした。
        --
        1を聞いて0を知れ!
        シェア
        親コメント

        • Re:詳細って (スコア:0)

          by Anonymous Coward

          ぶ、部長！パスワードは人に教えるなとあれほど(ry

          うちの部長よりセキュアな部長さんですね。
          うちの部長はディスプレイの左上にポストイットでパスワードが貼り付けてあります。

      • Re:詳細って (スコア:1)

        by himetv (21735) on 2005年08月05日 18時11分 (#777652) 日記
        復旧はしたけど再発防止策を何も立ててないんで
        公表できないだけのような気がするんですけど。
        シェア
        親コメント

        • Re:詳細って (スコア:0)

          by Anonymous Coward
          つーか、HTMLアップできる権限が奪われておいて、
          本当に顧客情報の漏洩はないの？
          他のプログラムファイルをちょっと改造してアップして実行すれば、情報の表示なんて簡単だったんじゃないの？
          ログが残ってないから、漏れたかどうかわからないだけじゃないの？

          • Re:詳細って (スコア:0)

            by Anonymous Coward
            ログが残っていないならば、普通、その事実はなかったと判断されます。

            それは別にAvexに限らず、あらゆる所でそうです。

            「現在、このサイトはハッキングされている可能性があります。
            ログには何

            • Re:詳細って (スコア:0)

              by Anonymous Coward
              「ログが消えていた」と言うアレな言い訳を提示された事がある。
              もちろんそんな業者とは御仕事を続けられませんが、

    • Re:詳細って (スコア:0)

      by Anonymous Coward
      ＞逆に質問、こういったサイトをハックされた場合、利用者に対して「どんなお知らせ」をすればいいんだろう？

      ハックされてるみたいだから、電話で報告したけど無視に近い扱いだったってのが、まず存在してるんじゃない？記事には書いてないけど…


      そこまで無視されたら、いやがらせでなくても、

      • Re:詳細って (スコア:0)

        by Anonymous Coward
        君妄想とばし過ぎ。

        >ハックされてるみたいだから、電話で報告したけど無視に近い扱いだった

        これはどこから出てくる情報なのかな?

        • Re:詳細って (スコア:0)

          by Anonymous Coward
          #777650 [srad.jp] のリンク先じゃないですか？

        • Re:詳細って (スコア:0)

          by Anonymous Coward
          話題に乗りたいなら、これまでの情報を全部読んでから来てね

          • Re:詳細って (スコア:0)

            by Anonymous Coward
            >これまでの情報

            それは信憑性が高いのですか？
            (#777668)のACは、それも含めて全部妄想だといってるんじゃないのかねぇ？

  • 「一切」と書かれてるだけで胡散臭くなる (スコア:0)

    by Anonymous Coward on 2005年08月05日 20時55分 (#777701)
    発表文には、
    個人情報の流出を含め不正にデータにアクセスされた形跡等は一切ございません。
    とあるんだけど、「一切ございません」とあるとなんだかうそ臭く聞こえるんだけど、なぜだろうか。私が広報担当だったら「一切」とは書かないなあ。

  • 餅は餅屋（ふれーむのもと） (スコア:0)

    by Anonymous Coward on 2005年08月06日 11時58分 (#777999)
    自前サイトは閉鎖してiTMSに一本化した方がコスト・リスク等々で良いと思いますよ＞エイベックスさん＆各社。

    ＃iTMSが餅屋とは思えない＆iPodユーザ以外無視なのでAC（だったら書くな）
typodupeerror

UNIXはただ死んだだけでなく、本当にひどい臭いを放ち始めている -- あるソフトウェアエンジニア