# CMC予選

## 思ったことを率直に書く

- クラウド
- システムは全てクラウド上で動作
- 多要素認証
- SMS認証
- https://www.lifehacker.jp/article/232050please-stop-using-text-messaging-to-receive-login-codes/
- https://blog.trustlogin.com/articles/2018/20181219

## 二要素認証を突破する事例

### 対策

個人

* 不審なSMSやメールは開封しない
* メッセージの内容や送信元をよく確認し、メッセージに記載されているURLに安易にアクセスしない
* 正しいWebサイトのURLをブックマーク登録しておき、ブックマークからアクセスするようにする
* 表示されたWebサイトが正しいかどうか、必ずアドレスバーのURLを確認する
* 普段と異なるタイミングで二要素認証や決済情報の入力を求められた場合、そのWebサイトのURLを再確認する
* 認証アプリや生体認証など、別の認証方法の利用も検討する
* 各銀行のWebサイトにおいて「メールでインターネットバンキングのパスワード等を求めることはない」ことなどの情報を確認する

**法人**

**自社サイトで使用しているシステムに脆弱性や設定ミスがないか定期的に確認する**
確認には専門家の知識が必要なため、脆弱性診断サービスのご利用を推奨いたします。
脆弱性診断サービスでは、定期的にWebサイトやプラットフォームの脆弱性を調査することで、システムが古いバージョンのままの利用や、サーバの設定ミスなど様々な課題を洗い出すことができます。それらの課題に対処することで、不正アクセスや情報漏洩などセキュリティインシデントの発生リスクを減らすことができます。

## ざっと問題だと思われるところを列挙

## しなければいけないこと

### 初動対応

- 全ユーザーへの注意喚起
- フィッシング注意的
- 影響範囲の調査
- A様他複数人に情報へのアクセスを許可してもらう（規約などでできない場合）
- 該当ユーザーに対する注意喚起メール
- 過去の取引に心当たりがあるか的なメールを送信
- 不審な取引があった場合の強制ログアウト

### サービスの復旧

- DB・システムのセキュリティ設定の変更
- 対象期間の前後のシステム改修の再レビュー・修正
- 平文パスの保存を止める
- トークンアプリのセキュリティ設定の強化
- フロントアプリでパスワードのバリデーションを行なう

### 根治

- 脆弱性診断及び認証を受ける
- 実在証明拡張型証明書の発行
- ワンタイムパスワードの複雑化・生体認証の導入
- 社内教育
- FIDOの導入

### 根治

**自社サイトに実在証明拡張型（EV）証明書を使用する**
EV証明書は、DV（ドメイン認証型）やOV（実在証明型）よりも厳格な審査を受けて発行されます。アドレスバーに組織情報が表示されるようになり、正規のサイトであることが証明されるため、偽サイトと差別化されます。

**不審なサイトへのアクセスがないか、セキュリティ製品を導入して監視する**
セキュリティ製品を導入しProxyやURLフィルタリング機能の監視を行う、また監視サービスを利用することで不審なサイトへのアクセスをリアルタイムに検知することが可能です。不審なサイトにアクセスしたクライアントを特定することができ、被害拡大を防ぐことができます。

**社内教育や周知の徹底**
社内でフィッシング詐欺の手口を周知させ、騙されないよう教育を徹底することで、詐欺被害を未然に防ぐことができます。

近年、「FIDO（ファイド、Fast Identity Onlineの略）」というパスワードを必要としない新たな認証方式が注目を集めています。FIDO認証はデバイス側で行う生体情報を用いた本人認証とサーバ側で行うデバイスの認証を分けています。本人認証に関してサーバに伝わるのは「本人である」という情報のみのため、認証情報が詐取されるリスクがなく、よりセキュリティの高い認証方式として注目されています。このような新しく、よりセキュアな認証方式を取り入れることも対策の一つとして考えられます
生体認証の導入

## メモ

- ユーザー側の問題の可能性
- フィッシング被害の可能性の周知（高）
- ユーザーへの注意喚起を行う
- 不正アプリがインストールされている可能性
- ユーザー対応は難しい
- ID、パスワードが漏洩リストに載っている人について監視を強化する
- 取引の度に確認メールを送るようにする？
- メールの認証を通してトランザクションを行なう
- 該当銘柄のトランザクションを集中的に監視
- 影響範囲の絞り出し
- 対象期間の絞り出し
- 対象期間の始まり前後で追加・改修されたものがインシデントを引き起こした可能性が高い => システム側の根治に必要な情報
- DBが攻撃されている可能性がある
- 〇〇
-
- サーバー設定・ログの見直し（中）
- ここはもっと内容を精査
- 〇〇
- ログインを止める->実害が出た場合のみ

### サービスの復旧

### 根治

## 調べるところ

## しなくてもいいこと

- サービスを止める

- フィッシング被害の対応どうするんや（企業目線）