11/06/27 22:58:50.35
ソニーのPlayStation Networkを利用するユーザーにとって、2011年4月は最悪の月となった。しかも、
状況は改善されるどころか、さらに悪化しているとの指摘もある。
セキュリティ対策として新たなポストを創設
ソニーは2011年5月、ネットワークへの侵入者によって同社ユーザーの個人情報が盗み出された
と発表した。この影響で同社は、数日間にわたるサービス停止を余儀なくされた。
同社の声明文には、「2011年4月17日から19日にかけて行われた弊社ネットワークへの違法かつ
不正な侵入により、『PlayStation Network』および『Qriocity』サービスの特定のユーザー・アカウント
情報が流出したことが判明した」とある。
調査は現在も継続中だが、PlayStation NetworkとQriocityに登録しているユーザーの氏名
および住所に加え、生年月日や電子メール・アドレスなどの個人情報が漏洩したと見られている。
「現時点ではクレジット・カード情報が漏洩した証拠は見つかっていないが、その可能性は否定
できない。PlayStation NetworkまたはQriocityにクレジット・カード情報を登録されているユーザー
の方は、クレジット・カード番号（セキュリティ・コードを除く）と有効期限が漏洩している可能性が
あることにご留意いただきたい」と同社は声明で述べている。
また同社によると、緩やかな結束で結び付いたハッカー・グループ「Anonymous」（アノニマス）が
事件に関与している可能性があるという。
その根拠は、ソニー子会社であるソニー・オンラインエンターテインメントのサーバに「Anonymous」
という名前のファイルが残されていたことだ。このファイルには、同グループが声明の中でよく使う
“We are Legion”（“Legion”とは古代ローマにおける軍団の意）というメッセージが残されていた。
一方Anonymous側は、根拠のない言いがかりだとして事件へのかかわりを否定した。同グループは
公式声明の中で、「我々と活動をともにしている者の中に、警察当局による大がかりな捜査が行われ
るような行動を取る者はいない」と述べ、「Anonymousはクレジット・カード情報窃盗にかかわった
ことなどない」と反論している。
さらに、攻撃の実行者はAnonymous以外の何者かであるとし、その者たちがAnonymousを犯人に
仕立て上げようとしていると主張した。なお、6月10日にスペインでAnonymousの幹部3人が逮捕されている。
ソニーのコンシューマー向けエレクトロニクス子会社、ソニー・コンピュータエンタテインメントの平井一夫
代表取締役社長は、米議会の調査団に宛てた書簡の中で、Anonymousは意図せず今回の攻撃
に荷担していた可能性があると指摘している。
書簡によると、ソニーのネットワーク・セキュリティ担当者は、今回の事件前から行われていた同社
へのサービス妨害（DoS）攻撃の対応に忙殺されており、データ漏洩の察知が遅れた可能性がある。
そしてこれは、「恐らく攻撃者が意図したシナリオだった」という。
同書簡はさらに、「DoS攻撃の実行者がデータ漏洩事件の共謀者なのか、あるいはより狡猾な
窃盗グループに利用されただけなのかを確かめることは困難である。しかしいずれにしても、
このDoS攻撃に加わっていた者は、事前に気づいていたかどうかにかかわらず、綿密な計画に
基づいて巧妙に実行され、弊社のみならず弊社の世界中のお客様に被害をもたらした今回の
大規模窃盗行為に荷担していたことを今では理解しているはずである」と述べている。
なおソニーはこのあと、十分な証拠がないことを理由にAnonymousが攻撃に関与していたとの
主張を撤回している。
ソニーは、問題の再発防止策として、ソフトウェア自動監視ツールと構成管理ツールの導入、
データ保護システムおよび暗号化システムの改善、ソフトウェアへの侵入や不正アクセス、ネットワーク
における異常な行動パターンの検出強化、ファイアウォールの追加、そして高度なセキュリティを
備えた新データセンターへの移行計画の前倒しを行ったと発表した。
また、CIO直属となる新しいCISO職の設置を検討するという。
CIO Online
URLﾘﾝｸ(www.ciojp.com)