企業から顧客へのファイルの受け渡しに潜む脆弱性

これは、アイホンから顧客へ工事関係書類を送付する時のやりとり。

アイホンが管理する外部サーバーに資料を預けて、ＩＤとＰＷを伝えてアクセスしてもらう。期限が過ぎたら、画像のように無効にされる。

メアドを確認して直接送付しても良いが、ファイル量が多い時はクラウドに預けるのが今風かな。


このアプローチの問題点

（１）不特定者の介在

機微情報ではないから神経質になる必要はないが、確立された手法と勘違いして重要情報のやり取りもこの手順を踏むのは問題。

IDとPWを本人以外に託していること。転送扱いで良しとされた情報は何回転送リレーされるか分からない。想定外の人が閲覧している可能性がある。

相手がクラウドにアクセスすることを前提しているなら、電子的コミュニケーションが可能な環境にいると考えられるから、メアドかＳＭＳアドレス（携帯番号）を入手してそこへ直接案内すべきだろう。

（２）ネット詐欺との混同

いきなりパスワード型ＵＲＬを連絡しているが、これはネット詐欺と類似した方法でうっかりクリックはしないのが今の常識。訳の分からないＵＲＬをクリックして、「契約有り難うございました」などとメッセージが出てきても困る。

-

感覚的には世間が企業に求めるレベルからすると数年のビハインドに見える。

※

アクセスエラー画面：

401 Authorization Required

URLもしくはID/パスワードが間違っています。メール記載の情報をご確認下さい。

---

URL / ID / password you entered is incorrect. Please check the information contained in e-mail.

---

URL/ ID /密码，您是不正确的。请在电子邮件中包含的信息


※

案内メール：

ｘｘｘ様 よりファイルをお預かりしています。
下記のURLからファイルのダウンロードを行って下さい。

|送信者　　　　 | アイホン株式会社 ｘｘｘ
|添付ファイル数 | 1
|有効期限　　　 | 2019-07-ｘｘ
|説明　　　　　 |
ｘｘｘ

お世話になります。アイホンのｘｘｘｘｘです。

標題物件につきまして、ｘｘｘ様への工事案内をお送り致しま

す。へご案内をお願いいたします。何卒、宜しくお願い申し上げます。

https://z8889.intelligent-folder.jp/Z8889/transient/t0000/t0000/・・・（暗号化ＵＲＬ）

* IDとパスワードは別のメールにてお知らせします。
* 有効期限翌日以降はアクセスできません。

以上、よろしくお願いいたします。

※

ところで、このインテリジェントフォルダってどんなものだろう？

• https://www.cresco.co.jp/if/service/if/
• https://www.cresco.co.jp/if/

※

迷惑メール「【警告】 支払いが失敗したため、アカウントはロックされています。」

たまたま迷惑メールを見ていたら、こんなタイトルのものが入っていた。アップルからメール？

-

【警告】 支払いが失敗したため、アカウントはロックされています。

-

似たようなアカウントロック通知のメールは以前にもあった。今回はアップルからのもの。ご丁寧にメール冒頭には、薄いシェードを掛けて第3者がオーソライズしたかのような文面を入れている。自作自演。

-

この手紙は信頼できる送信者から送信されたものです。
このメールアドレスはAppleアカウントとして登録されています。



-

メールのプロパティを見ると、また少しボロが出てくる。送信者は勝手に設定できるから。Appleとしているが、noreply@youtube.comは余計の世話だろう。ヨウツベがグーグルの会社だってことも知らないみたいだ。

-

From:    Apple <noreply@youtube.com>
To:    xxx
日付:    2019/07/23 19:39
件名:    【警告】 支払いが失敗したため、アカウントはロックされています。
送信元:    repositorybos.info

-

文面見ると日本が普通ではない。国語の出来の相当悪い日本人か外人だろう。これで、うっかり変なところをクリックしたらそれも出来の悪い日本人と言うことになるかな。

-

AppleID（xxx）のために必要なアクション。
私たちは、App Storeでお支払いの同期が失敗していることがわかりました。 サービスへのアクセスを失うことを避けるために必要な支払い方法を更新します。 このような理由から、あなたのアカウントがフォローアップまで、一時的にロックされます。

-

アカウントロックなんかいくらやってもらっても構わない。適当に集めたメアド相手にこういうメールを送り付けているんだろう。

詐欺メールが辿ったIPアドレスとか誘導しようとしているサイトとかは、既に不適切情報がクリアされているので分からないが、某大手の情報流出事件の影響が今になって現れた格好だ。

※