パスワードを忘れた? アカウント作成
11441 story

メールアドレス流出に便乗してフィッシング発生 48

ストーリー by kazekiri
ふんだりけったり 部門より

Anonymous Coward曰く、"「IT保険ドットコム」のニュースによると、外為取引サービスのジェイ・エヌ・エスが、オンライントレードシステムに発生した不具合を利用者へ案内するメールを発信した際、Bcc:を使わずに送付先の全員をあて先としたため、メールアドレスなどが他のユーザに流出するという、よくある事故を起こしたところ、それを受信したユーザとみられる人物が、ジェイ・エヌ・エスの偽サイトを設置して、他のユーザをそこに誘うメールを流したらしい。
ジェイ・エヌ・エスの公式発表「偽サイトについて」によると、掲載されているキャプチャ画像のような偽サイトが設置されていたとのことで、後に偽サイトは「今回の悪戯につきまして」と題した謝罪文に差し替えられたという。また、同社の「緊急のお知らせ」(PDF)に、その送信された偽メールの内容が掲載されており、流出した被害者にメールアドレスの変更を促すとともに、認証用キーのバックアップファイルをメールで送信するよう促すものだったようだ。 その後の対応についてジェイ・エヌ・エスは、「経過報告書2」と「個人情報漏洩に関する対応についての最終報告」の文書を発表している。"

この議論は賞味期限が切れたので、アーカイブ化されています。 新たにコメントを付けることはできません。
  • by Anonymous Coward on 2005年12月16日 16時37分 (#850534)
    リンク先の謝罪文を読むと"ガキのいいわけ"にしか見えないのですが、どんな人物なんでしょうね。

    偽ヤフー事件を知っていて、その犯人が逮捕されたことも知っている。
    その一方でライブドアのように世間の注目を集めるような騒ぎを起
    こして楽しみたい。
    この二つの思考に関連性が存在していないのか不思議というより不気味です。

    家族に迷惑がかかるとか逮捕されないか怯えてるって、その家族と一緒に自首することをお勧めしたいですね。
    ってプレスリリースは九日付けか。
    でも逮捕されたっていう報道も記憶にないので結局この事件はどのような結末になったのでしょうか。

  • by Anonymous Coward on 2005年12月15日 22時43分 (#850070)
    > Bcc:を使わずに送付(snip)という、よくある事故
    もういいかげんにこういうのは故意扱いしていいんじゃないの?
    • by hottad (7130) on 2005年12月16日 4時16分 (#850201) 日記
      ちょっと古い話ですが、BCCに指定したアドレスが表示されてしまう事 [impress.co.jp]もあるのでBCCも安全とは言えません。
      やはり、今回のようなケースではMLを使うか1通ずつ送信するツールを使用しないと危険です。

      そんな訳でうちの会社では、基本的にBCCでの送信は禁止されています。

      #個人的に敢えて使う場合は、「BCCはアドレスを隠せない(宛先の他の人に知られてしまう事がある)」というつもりで使っています。
      親コメント
      • Re:事故じゃないよな (スコア:2, すばらしい洞察)

        by Anonymous Coward on 2005年12月16日 7時28分 (#850216)
        >ちょっと古い話ですが、BCCに指定したアドレスが表示されてしまう事 [impress.co.jp]もあるのでBCCも安全とは言えません。
        >やはり、今回のようなケースではMLを使うか1通ずつ送信するツールを使用しないと危険です。

        それは BCC を送ってしまうバグのある UA が悪いんじゃないんですか。
        送信先アドレスを漏出してしまうバグのあるMLやツールがあったら同じことに。

        #そのバグ UA が OE だから問題なんでしょうけどね :P
        親コメント
      • by mocchino (13752) on 2005年12月16日 10時17分 (#850289)
        この手のユーザー通知は、どうせ複数回使うのですからML作って
        全体通知はこのML宛に送付しろって運用のがユーザーも管理側も楽だとおもうんですけどね
        新規ユーザー登録と共にMLに自動登録するようになってれば通知漏れも少なくなるでしょうし

        発信者は社内からのみ&モデレート有りとかにしておけば
        誤送信も防げて良いと思うのだが
        数十人以上にBCCで送付とか、かなり面倒だと思うんですけどねぇ
        親コメント
        • by kjm (1606) on 2005年12月16日 11時36分 (#850340) ホームページ
          この手のユーザー通知は、どうせ複数回使うのですからML作って
          全体通知はこのML宛に送付しろって運用のがユーザーも管理側も楽だとおもうんですけどね
          (中略)
          発信者は社内からのみ&モデレート有りとかにしておけば
          誤送信も防げて良いと思うのだが
          私もそう思うのですが、当該企業の再発防止策 [jns-online.com]は
          二度と同じ事態を招かないために、同報配信する際は『BCC』以外の方法では送信できないシステムを導入いたしました。
          ですからねぇ……。Bcc しか知らないのだろうなあ……。
          親コメント
      • Re:事故じゃないよな (スコア:2, すばらしい洞察)

        by Anonymous Coward on 2005年12月16日 11時19分 (#850323)
        > ちょっと古い話ですが、BCCに指定したアドレスが表示されてしまう事もあるのでBCCも安全とは言えません。
        バグのあるソフトがあったことを理由に、それに影響されることをするのは危険というのはおかしいんじゃないの?
        そんなことを言い出したら、
        メンバーリストが取得できてしまうMLもあるので危険とか、
        1通ずつ送信するツールにも、バグのあるものがあるので危険とか、
        いくらでも言えますよ。
        重要なのは、安全かどうかを確認して使うことでしょ。

        > そんな訳でうちの会社では、基本的にBCCでの送信は禁止されています。
        この場合は、「Outlook Express 6」でのBCCの使用を禁止にすればすむことじゃない?
        親コメント
      • については、こちらの記事の方がよいでしょう: Outlook Expressに「BCC」を表示する新たな不具合,MSはパッチを公開 [nikkeibp.co.jp]。
        親コメント
      • by on-abokya (16235) on 2005年12月16日 23時08分 (#850716)
        MLで送られたメールに返事すると、全員に送り返されますよね。
        私の職場は、コンピュータ系でもアレゲ系でもないので、
        このことを知らないのか、無頓着なのか、
        発信者だけに返事したつもりのメールをしょっちゅう読みます。
        だから、私は、MLで全員に送るときは、内容によっては
        toを自分宛にし、 BCCにMLのアドレスを書くことがあります。
        そうすると、返信は私にしか来ない。
        親コメント
        • by nonolin (465) on 2005年12月17日 13時10分 (#850909)
          大体の ML って Reply-To: が ML のアドレスになるように
          「強制的に」付け加える or 書き換える設定になってるから、
          そんなしょーもないことやっても、他では何も意味無いでしょう。

          #sf の ML はこれをやってくれないから、
          #逆に個人宛に出しただけになってしまう…
          親コメント
        • ML宛にPostしたけど、個人宛に返事が欲しければ、 Reply-to: fieldに自分のAddress を指定する方法もありかも。 MLによっては、Reply-to:fieldを強制的にML宛への返信に書き換える運用もありえるので、 万能ではありませんが。
      • ああ、あのときは

        CC:Carbon Copy
        BCC:Black Carbon Copy

        仕様だったんです(違
    • Re:事故じゃないよな (スコア:2, すばらしい洞察)

      by tiatia (22244) on 2005年12月15日 23時13分 (#850088) 日記
      「よくある」という頻度の問題と、「故意」か「過失」かという問題は別ですよ。

      交通事故は珍しくありませんけど、だからといって交通事故が全部「故意」にされてしまってはたまりません。
      親コメント
    • by Anonymous Coward on 2005年12月15日 23時47分 (#850108)
      > Bcc:を使わずに送付(snip)という、よくある事故

      To:やCc:にn個以上の宛先がある場合、送信できないシステムを構築すべきだと思う。

      親コメント
      • Re:事故じゃないよな (スコア:3, すばらしい洞察)

        by nobnobnob (24077) on 2005年12月16日 0時46分 (#850132) 日記
        これってメーリングリスト(またはメールマガジン)のためのソフトやサービスを利用するだけで防げるのでは? 普通のメールソフトで普通に送信しようとするからこういう事故が起きるような気がするんだけど。
        親コメント
      • by nina (15758) on 2005年12月16日 0時54分 (#850139)
        この件がメール送信ソフトが何を使っていたのかわからないですが
        メーラーが初期設定では"CC"で送信時に"CCで複数に送信する場合は受信者が他の誰が受信したかわかりますが続行しますか"
        的メッセージを表示されるようにするとトラブルは減るんじゃないかな
        上級者は設定を変更して消せばいい話だろうし、
        ただ上級者でも己の過信によるミスが発生すれば同じですが・・・
        親コメント
      • by Anonymous Coward on 2005年12月16日 11時37分 (#850341)
        うちの会社はそんな感じになってますが、はっきりいって無駄だと思います。
        だって、相変わらずいろんなものが垂れ流されているもの。
        使い勝手が犠牲になるだけで効果ほとんどなし。
        親コメント
  • by Anonymous Coward on 2005年12月16日 3時20分 (#850196)
    私もこの記事を見て初めてCCとBCCの違いが分かりました。
    普通にPC家で使ってる人ならどっちもそんなにお世話になりませんしね。
    アルバイトやパートの人では例えPCに詳しい人でもこの違いを知らないんじゃないでしょうか。
    PC詳しいと言えども知らない事は調べようと動機が出来ない限り調べませんしね。
    • by Masw. (17831) on 2005年12月16日 6時05分 (#850210)
      そりゃあ個人レベルでなら知らなくても特に(恥ずかしい|悪い)ことではないと
      思いますが、今回のケースは(も?)業務の一環で発生したことです。

      法的には若干あいまいですが(ガイドライン [meti.go.jp]の13ページを参照)、一般的な
      感覚としてメールアドレスは個人情報に該当するものと考えられています。
      となれば企業には個人情報保護法に基づく適正な運用が求められ、それに
      関する知識は正社員・非正社員の別なく有するべきでしょう。

      #あとこれは個人的な感想ですがこういった規模の大きいビジネスで
      #Outlook Expressというのもちょっとなー、と。かといって「んじゃ
      #どれがいいのよ?」と聞かれると答えに詰まりますが。
      親コメント
    • CC,BCCって表記やめればいいのに。
      親コメント
    • 自分はCc:やBcc:なんて知らなかった頃は
      To:に複数アドレスを入れて発信してました。
      でも、こういうニュースでは、それが原因で相手のアドレスが流出と言うのではなく、
      Cc:を使って流出というばかりなのは、かなり不思議です。
      少なくともCc:を知っていたと考えるのが普通だとおもいますが。
      • Cc:を使ってるという事は、当然その効果も知っていたはず。だって「同報着信の機能がある」って事で業務に採用したわけですから。知らないわけがない。

        これは業務上過失、または故意かのどちらかでしょう。
        つまり担当者がCc:について生半可にしか知らず使った事もなく上司もそれを確認しなかったのか、
        あるいは最初からフィッシング狙いで「Cc:によるアドレス流出」という状況を作りたかった人間が内部にいるかのどちらかの可能性があります。いわゆる自作自演ですね。
        私は前者の可能性を考えていますが、後者の可能性も否定できませんね。いい目くらましですから。

        あとは、少なくともCc:を使う事を提案した者は知っていたはずだし、同じ理由で不特定多数に送るメールシステムは必ず一度は事故がないかダミーのアドレスなりなんなり使ってテストするものです。

        これは個人情報うんぬんではなく、「ちゃんと動くかどうか」という基本的問題のために。リストの規模によってはものすごい大量配信になるので、おかしな挙動をすると関係各所にとんでもない迷惑をかけてしまいますので。

        こちらは完全に業務上過失でしょうか。
        親コメント
        • by Anonymous Coward on 2005年12月16日 13時22分 (#850397)
          >Cc:を使ってるという事は、当然その効果も知っていたはず。

          偽サイトの画像を良く見ると、「事故の経緯」の部分に 「誤ってTOで配信」って書いてあるよ。
          つまり、(これが正しいならば) Cc: ではなく To: で配信したってことだね。

          まぁ、いずれにせよ、社員の教育不足であることには違いないが。
          ちなみに私は新人研修の時に習って初めて To、Cc、Bcc の違いを知ったけどな。
          最近の新人研修の様子を見ていると、携帯電話のメールしか使わない人は、そもそも、Cc の存在すら知らないみたいね。
          親コメント
      • >少なくともCc:を知っていたと考えるのが普通だとおもいますが。
        OutlookExpressの場合、デフォルトでBCCが表示されていないからでは?

        #同時に送るときは To: じゃなく Cc: や Bcc: を使えと言っていたな…
        #なんか違うんだっけか…んーCc: しかないな。どっちも同じようなもんだったよなぁ~ ポチッと
        --
        タブレット中毒者。
        親コメント
      • 誰かにそう教わったから、人のメールの真似して、試しにやってみた、
        理由もわからず cc 使う理由なんていくらでも考えられますが。

        そもそもあなただって、自分の使っているソフトやコマンドについて、
        あらゆる動作、あらゆる振る舞いを熟知していますか?そこに誤解はありませんか?
        あなたの環境で、あなたの用件に対して、あなたの操作でも
        たまたま都合よく動いているだけという可能性はありませんか?
    • > PCに詳しい人でもこの違いを知らないんじゃないでしょうか。

      そーゆーのは詳しいとは言わない。
      CcもBccも使わないヒトなら知らなくても差し支えない。
      自分以外に関係する事で不用意に「知らないもの」を使わないようにしましょう。
      (会社では「知らない事は憶測で動かずにまず聞け」と教わるはずです。)
  • by banana (10420) on 2005年12月16日 18時18分 (#850588)
    To で送られてきたメール: 受信者は自分だから結構重要。
    Cc で送られてきたメール: ついでに送ってきたメールだか らほっといてもダイジョブ。
    Bcc で送られてきたメール: ついでに送ってきたメールで、To 宛ての人や、Cc 宛ての人には送ったことはナイショ。

    ではないんでしょうか?
    Mew ユーザだから、件のような場合は 宛先を匿名にしたメッセージの送信 [mew.org] というやつを使っているんですが、他のmailerにはこんな機能はないんですかねえ。
    • by Anonymous Coward
      仕事で来るメールはほとんどCCなので、無視していいんですね

      #下請けAC
      #私用でCC使うことなんてないしなぁ
typodupeerror

日本発のオープンソースソフトウェアは42件 -- ある官僚

読み込み中...