侵害の増加と深刻化：サードパーティアプリにおける信頼の代償

私たちの主な使命は、ソフトウェアとその開発を安全なものにすることです。開発の初期段階からセキュリティを考慮して構築することを目指しています。私たちのビジョンは、ソフトウェア開発の新たな基準を打ち立てることです。開発者が脆弱なコードを検知し、コーディングの最中に問題を未然に修正できるスキルと知識を身につけられるように支援します。

こうした背景から、世界中で発生するデータ侵害やサイバー攻撃、コードの悪用といったニュースを聞いて私たちが喜んでいると思われるかもしれません。確かに、そうした事件は多くの業界で私たちのサービスが必要とされていることを浮き彫りにします。しかし実際には、非常に歯がゆい思いです。業界全体として同じ過ちを繰り返していることは明らかであり、その理由は、ほとんどのセキュリティ教育がリスクを最小限に抑え、侵害を阻止するほど十分に機能していないからです。

データ侵害の最新の被害者はTicketmasterです。もしあなたが影響を受けた数千人の顧客の一人であれば、事件の通知とパスワード変更を促すメールを受け取ったはずです。コンサートやスポーツイベントのチケットを購入しただけで個人データが侵害されるなど、誰も予想していません。しかし、現実はこうです。

これは誰にとっても最悪の状況であり、Ticketmasterの評判を損なうだけでなく、顧客体験としても非常にひどいものです。しかし、一つ問題があります。それは、すべてが彼らの責任というわけではないということです。

同社は、Inbenta Technologiesが提供するサードパーティのカスタマーサポートアプリケーションを利用していました。Ticketmaster UKは、その製品に悪意のあるコードが含まれていたことを発見し、その結果、世界中の顧客データの5％が流出する事態となりました。

では、ハッカーはどのようにしてこのシステムを悪用したのでしょうか。彼らはJavaScriptコードのわずか1行を操作したのです。このコードは、Inbenta TechnologiesがTicketmasterの要件に合わせてカスタマイズしたものでした。Inbentaによると、そのコードは本来想定されていないページで使用されており、もし事前に知っていればセキュリティ上の脆弱性として特定できていたはずだといいます。

この脆弱性は、本質的にはファイルアップロード／ストレージライブラリのセキュリティ問題であり、一度の侵害で同じコードを読み込んでいるすべてのサイトに影響が及ぶ可能性があります。コードを改ざんすることで、個人データを収集して攻撃者に転送するといったことが容易に行えてしまいます。これは単純な攻撃手法でありながら被害が広範囲に及ぶ可能性があり、私たちはプラットフォーム内の多様なトレーニング演習を通じて、こうした脅威への防御に取り組んでいます。

もちろん、サードパーティのアプリケーションに頼らずにビジネスを行うことは事実上不可能です。しかし、相手がどのようにソフトウェアを構築しているかを制御することはできず、そのコードのセキュリティ強度を把握することもほぼ不可能です。これは信頼の問題になります。もしサードパーティのパートナーがセキュアコーディングの実践を怠っていれば、自社への侵害の入り口を開いてしまうことになりかねません。

では、解決策は何でしょうか。簡単に言えば、私たち全員がもっと努力しなければならないということです。セキュリティを、企業のイノベーションを阻む厄介な障害と考えるのはやめなければなりません。

開発チームがセキュリティを重視し、悪意のあるコードを未然に防ぐための適切なツールと知識を身につけさせることは、皆さんが考えているよりも簡単です。世界最大級の金融、通信、小売、テクノロジー企業がこの新しいアプローチを採用していることを嬉しく思いますが、セキュリティ教育に取り組むことはFortune 100企業だけの特権であるべきではありません。開発者を抱えるすべての企業が、チームが安全にコーディングできるようトレーニングを導入する必要があります。

CTOのMatias Madouと共同執筆し、最近公開したホワイトペーパーでは、組織内にセキュリティ文化を構築する利点を紹介しています。なぜそれがイノベーションを促進し、アジリティを維持し、安全でないコードによる経済的損失を減らすための鍵となるのかを詳しく解説しています。

以下のようなヒントを紹介しています：

* 開発者にとって有益で魅力的なセキュリティトレーニングにする方法

* 開発者が自ら問題を特定し、修正できるように指導する方法

* 開発者が安全なコードを構築できるよう支援する方法

ぜひこの資料をダウンロードして、組織内のセキュリティ意識を高め、チームのスキルを向上させ、より高いレベルのコード基準を確立する先駆者となってください。

セキュリティを、企業のイノベーションを阻む厄介な障害と考えるのはやめなければなりません。