価格コムがウィルスで閉鎖。ウィルスに対する正しい知識を持ちたいです

質問

有名サイトの価格コムが、悪意ある第三者に不正アクセスされてウィルスを仕込まれて現在閉鎖に追い込まれてますよね。何か、恐くて色んなサイトを利用する気持ちが薄れてきました・・・・・。自分のパソコンを壊すケースもあるらしいですね。
ただ、正確な情報を知らずに恐がることが先行し過ぎて、単にネットをしなくなるのは寂しい限りです。
そこでぜひとも有識者から以下のことを教えて欲しいです。

[1] いったいどのようにして不正アクセスされるの？（本件がどうかはわからないと思うので、一般的に多いケースでも構いません）

[2] あんな大手のサイトでも入られるということは、技術がある第三者ならしようと思えばどこでも出来てしまうの？

[3] 完璧な対処を施すことはどうしても出来ないものなの？　出来ないのならそれは何故なの？

[4] 不正アクセスが出来たからと言って何の得にもならないのに、誰が何のためにこんなことをするの？
もしかして頼まれてお金をもらえるから得をするの？

ということなどをぜひとも知っりたいです。有識者の方のご教授お待ちしております。宜しくお願い致します。

回答No.3

noname#25358

>回答の[1] ですが、実際にどのような作業をおこなうのですか？
　ターゲットとなるマシンに対し、特殊な文字列とプログラムを同時に送ると、ＯＳがそのプログラムを実行してしまう、という不具合を利用します。
　これがいわゆる「バッファオーバーランによる任意のプログラムの実行」です。
　このとき、送信用プログラムは自分で作成しなければいけません。
　昔はブラウザのアドレス欄を使ってもこの手法によるハッキングが行えましたが、現在は、一部の古いマシン以外、専用ハッキングプログラムを使わずにハックを行うことは難しくなっています。

　また、社員がメールを開くのを待つ方法というのは、たとえば "私のエッチ画像見てね" とかいかにもなタイトルのメールを送りつけ、その画像を馬鹿な奴が開くのを待ちます。
　実はその画像は、画像ファイルに見せかけたウィルスだった……というのが一般的なパターンです。

>費用捻出できるほんの一握りの会社しか
　うがった見方をすればそうなりますね。
　自動車会社だってそうです。
　「安全である」ということをユーザーに示せる大企業のみが生き残り、小さな会社は自動車を作ることすら許されません。
　インターネットにおいて「自己責任」という言葉が生まれたのは、ネットユーザーがそんな社会を望まなかったからです。他人任せの個人情報保護は、プロバイダをエリート主義に導くだけです。
　みんなが楽しめるインターネット社会を守るには、各個人が自ら進んで防衛術を個人的に学ばなければいけません。

>どのパソコンのことですか？
　あなたのパソコンです。
　もしあなたが、セキュリティパッチのない古いＯＳをインターネットにさらせば、世界中で２４時間稼動中の「自動ハッキングプログラム」が、３０秒～１分であなたのマシンを乗っ取ってしまいます。
　もしそこに、あなたが「クレジットカードの番号を書いたメモ」なんか残していれば、それを盗まれるまでに３分あれば充分です。

お礼

ありがとうございました。

回答No.2

kosa

[1]一般的な不正アタック(DDOS攻撃)とかですね。あとセキュリティーホールなどを狙ってくるパターンなど

[2]どこでも可能ってことはないと思います。あと技術だけあればいいのか？ってこともないと思いますよ。

[3]結局WEBサーバ等は、HPを公開するためのものですから、自宅で言うと玄関を開けっ放しにして、どうぞって言っているようなもんです。完璧！100％なんてのは存在しません。

[4]ハッカー等は自分の力(技術)の誇示であると言われています。悪意を持っている場合はクラッカーと呼ばれています

補足

早々にありがとうございます。
回答の[1] ですが、「一般的な不正アタック」と「セキュリティホール狙う」というやり方の具体的なやり方はどのようにするものなのでしょうか？
不正アクセス用のソフトでも自前でつくって、それによって特殊な接続方法でもおこなうのでしょうか？
ブラウジングしてサイトを開いてどうこう、ということではないのでしょうか？

[2] ですが、要は不正アクセスをほぼ不可能にすることは出来るということでしょうか？
それでも費用は恐ろしくかかる、ということでしょうか？
自分でネット販売をしようとしてサイトをつくっても、高いセキュリティ対策を施せる筈も無く、反面、個人情報保護法で罰せられるとなれば、こんな時勢では中小・零細企業ではネット販売するな、といわんばかりの状況で非常に不満で憤りを感じています・・・。

回答No.1

noname#25358

１．ＯＳの不具合を利用したり、または社員が不正なプログラムを実行するのを待つ方法が一般的です。
２．大手の全てがセキュリティに万全の対策を施しているわけではありません。
　本当にがっちり固めようと思ったら、それこそ億単位のお金がかかりますから。
３．今のところ無理です。
　システムの不具合を完璧に把握するのは不可能だからです。
４．得があるからするのです。
　そのパソコンの名簿に入ってる住所や電話番号のリストだけでも、たくさん集めればお金になります。
　または、一部の人はパソコンにクレジットカードの番号などを入力しています。
　サイバーテロに利用するために、無関係な第三者のパソコンを乗っ取ることもあります。

補足

早々にありがとうございます。
回答の[1] ですが、実際にどのような作業をおこなうのですか？
悪意ある第三者が操作するPCから標的サイトをブラウジングして開いて、フォームのテキストフィールド（入力ボックス）があるページを探して、そのテキストフィールドに不正アクセス用に編み出したソースコードを入力するとかでしょうか？
それとも他のやり方なのでしょうか？　OSの不具合を利用とか不正なプログラム実行を待つとかの意味が全くわからないのです。素人ですみません・・・。

[2] 万全対策施すならば無茶苦茶な高い費用がかかるし、個人情報保護法も施行された今、こんなのしっかり守ろうと思ったら、費用捻出できるほんの一握りの会社しかネット販売やネットサービスが出来ないですね・・・。そんなインターネットなど全然つまんないです・・・。

[4] 「そのパソコンの名簿に入っている住所～」の「そのパソコン」とはどのパソコンのことですか？
不正アクセスされたウェブサーバやデータベースサーバのことですか？
それとも不正アクセスしてウィルスソフトを仕込んだ後にサイトにアクセスした一般閲覧者各人のパソコンのことですか？