D3/100
情報漏えい · 高
証券取引システムに不正侵入 5口座で意図しない売買成立
ティアD · 参考情報 – 知っておくと良い
影響を受ける人： 不正な売買が成立した5口座の顧客
ティアDの理由： 開発者に影響しない
影響範囲
攻撃
被害
修正
悪用確認済み
要点
- 委託先が運用・保守するインターネット取引システムが外部から不正侵入を受けた
- 悪用されたのはサポート担当者が顧客に代わって注文を出す代行取引機能
- 設定の不備により本来限られた環境でしか使えない機能が外部から利用できる状態となり、5口座で意図しない売買が成立した
なぜ重要か
管理者向けの代行取引機能が外部から使える状態になると、顧客口座の売買に直接悪用されうることを示す事例である。開発者は、運用・管理用の機能が本番環境で外部から到達できないよう設定を点検する必要がある。
ティアの根拠となったチェックリスト
チェックリスト · 10項目中1項目が「はい」
| いいえ | 開発者に影響 | 証券会社の業務用取引システムで、IT業界外の企業への侵入であり開発者向け製品ではない。 |
| いいえ | 基幹インフラ | 影響を受けたのは特定の証券取引システムであり、基幹インフラソフトウェアではない。 |
| いいえ | 人気ツール | 一般に広く使われるフレームワークやツールではなく、特定事業者の運用システムである。 |
| はい | 悪用確認済み | xtech.nikkei.com: 外部から侵入を受け、5口座で意図しない売買が成立したと報じている。 |
| いいえ | 公開エクスプロイト | xtech.nikkei.com: 公開されたエクスプロイトや概念実証についての記述はない。 |
| いいえ | 認証不要のリモート攻撃 | xtech.nikkei.com: 外部からの侵入とあるが、認証不要で悪用できたかは記述がない。 |
| いいえ | 完全な乗っ取り | xtech.nikkei.com: 代行取引機能の悪用とあり、コード実行や管理者権限の取得は記述がない。 |
| いいえ | シークレットの流出 | xtech.nikkei.com: 認証情報や顧客データの持ち出し、漏えいについての記述はない。 |
| いいえ | サプライチェーン | xtech.nikkei.com: 正規パッケージや更新の侵害ではなく、設定不備による侵入と報じている。 |
| いいえ | 修正なし | xtech.nikkei.com: 修正の有無や未修正状態についての記述はない。 |
出典
証券取引システムに不正侵入 意図しない売買が5口座で成立 ↗ xtech.nikkei.com · 5時間前