米連邦捜査局（FBI）は、FBI公式の「ic.fbi.gov」ドメインから大量の偽メールが送信された件について、「Law Enforcement Enterprise Portal（LEEP）」プラットフォームの設定ミスが原因と説明した。
提供：Dzelat/Shutterstock
「LEEPは、州や地方の法執行パートナーとのコミュニケーションに使われるFBIのITインフラだ。不正なメールはFBIが運営するサーバーから配信されたが、これはLEEPのプッシュ通知専用のサーバーで、FBI自体の電子メールサービスからは独立している。FBIのネットワーク上にあるデータや、個人を特定できる情報にアクセスしたり侵害したりすることは不可能だった」とFBIは述べた。
FBIは、まず「影響を受けたハードウェア」をすぐオフラインにし、その後「ソフトウェアの脆弱性」をすばやく修正してネットワークの整合性を確認したという。
スパムメール対策の国際組織Spamhausは、大規模なスパムメール送信が2回あったとツイートしている。
セキュリティ情報サイトを運営するBrian Krebs氏は、今回の事件の犯人を名乗る人物から連絡を受けたとして、FBIのサーバーからメールを送信する手口を説明している。サイト上からアカウント作成を申請すると、申請者は「eims@ic.fbi.gov」からワンタイムパスコードを含む確認の電子メールを受信するが、FBIのウェブサイトのHTMLコードでワンタイムパスコードが漏れていたという。犯人はブラウザーに送られたリクエストの「件名」と「本文」を編集することで、eims@ic.fbi.govから電子メールを送信できた。そして簡単なスクリプトによって偽メールの送信を自動化したという。
こうした設定ミスとソフトウェアの脆弱性は、FBIがポータルを構築するやり方に原因があるようにみえる。非常に恥ずかしい状況であることは間違いない。
この記事は海外Red Ventures発の記事を朝日インタラクティブが日本向けに編集したものです。
CNET Japanの記事を毎朝メールでまとめ読み（無料）
