画像共有サービスの不正アクセスに学ぶ、公開範囲設定と情報漏えい対策

クラウド型共有サービスは「設定変更」が業務影響に直結する

画像やファイルを手軽に共有できるサービスは、業務効率を高めます。一方で不正アクセスが起きた際、情報漏えいと業務停止が同時に発生し得るリスクを抱えています。

今回報じられた事案では、不正アクセスに伴う情報漏えいを受けて一時停止が行われ、その後に提供が再開されています。サービスの停止と再開だけでも、現場の業務運用に大きな影響が出ます。

特に注意したいのは、サービス側の判断で公開範囲の設定が一律に変更される点です。安全性は高まる一方、従来の共有手順が成立しなくなる可能性があります。

画像が「本人のみ閲覧可能」へ変更された不正アクセス事例

国内で利用者の多い画像共有サービスにおいて、不正アクセスにより情報漏えいが発生したと公表されました。これを受け、サービスは一時的に停止されました。

対応後にサービスは再開されましたが、再開時点で保存済み画像を含む画像が一律で「本人のみ閲覧可能」に変更されています。過去に共有・公開していた画像も対象となります。

報道で確認できる範囲では、漏えいした情報の内容や件数、侵入経路、攻撃手法などは明らかにされていません。現時点では、事実として設定変更が実施された点が重要です。

企業が取るべき影響把握と、共有運用を崩さない対策

まずは自社で当該の画像共有サービスを業務利用しているかを確認し、誰が何を保存・共有していたかを棚卸しすることが重要です。部門単位の利用も見落としがちです。

次に、保存画像に個人情報や認証情報、社内資料、顧客情報が写り込んでいないか点検します。画面キャプチャーには、メール本文や管理画面、トークンが残りやすい点に注意が必要です。

共有が必要な業務については、閲覧者と共有手段を明確化し、運用ルールを更新します。公開範囲の定期監査、多要素認証の徹底、最小権限、ログ監視の整備も併せて検討します。

まとめ

ネットワークベンダーとして、PSIでは、クラウド共有の利便性を前提に「設定ミスや設定変更を織り込んだ設計」を推奨します。公開範囲は技術だけでなく運用の問題として扱う必要があります。

具体的には、ゼロトラストの考え方に基づき、利用者・端末・セッションを都度検証し、共有は最小権限で行うことが重要です。機密情報は外部共有を前提にしない分類も有効です。

加えて、多層防御としてID管理、アクセス制御、監査ログ、ネットワーク分離を組み合わせ、インシデント時にも業務を継続できる状態を目指します。平時の棚卸しが復旧を左右します。

会社概要

社名：株式会社ピーエスアイ（PSI）
所在地：〒160-0022 東京都新宿区新宿5丁目5-3 建成新宿ビル4階
設立：1994年
TEL：03-3357-9980
FAX：03-5360-4488
URL：https://www.psi.co.jp
事業内容：サイバーセキュリティ製品の販売および導入支援、運用サポート、ITコンサルティング

報道関係者様からのお問合せ先

株式会社ピーエスアイ
広報担当：内藤
電話番号：（03）3357-9980
Eメールアドレス：psi-press@psi.co.jp