企業から顧客へのファイルの受け渡しに潜む脆弱性

これは、アイホンから顧客へ工事関係書類を送付する時のやりとり。

アイホンが管理する外部サーバーに資料を預けて、ＩＤとＰＷを伝えてアクセスしてもらう。期限が過ぎたら、画像のように無効にされる。

メアドを確認して直接送付しても良いが、ファイル量が多い時はクラウドに預けるのが今風かな。


このアプローチの問題点

（１）不特定者の介在

機微情報ではないから神経質になる必要はないが、確立された手法と勘違いして重要情報のやり取りもこの手順を踏むのは問題。

IDとPWを本人以外に託していること。転送扱いで良しとされた情報は何回転送リレーされるか分からない。想定外の人が閲覧している可能性がある。

相手がクラウドにアクセスすることを前提しているなら、電子的コミュニケーションが可能な環境にいると考えられるから、メアドかＳＭＳアドレス（携帯番号）を入手してそこへ直接案内すべきだろう。

（２）ネット詐欺との混同

いきなりパスワード型ＵＲＬを連絡しているが、これはネット詐欺と類似した方法でうっかりクリックはしないのが今の常識。訳の分からないＵＲＬをクリックして、「契約有り難うございました」などとメッセージが出てきても困る。

-

感覚的には世間が企業に求めるレベルからすると数年のビハインドに見える。

※

アクセスエラー画面：

401 Authorization Required

URLもしくはID/パスワードが間違っています。メール記載の情報をご確認下さい。

---

URL / ID / password you entered is incorrect. Please check the information contained in e-mail.

---

URL/ ID /密码，您是不正确的。请在电子邮件中包含的信息


※

案内メール：

ｘｘｘ様 よりファイルをお預かりしています。
下記のURLからファイルのダウンロードを行って下さい。

|送信者　　　　 | アイホン株式会社 ｘｘｘ
|添付ファイル数 | 1
|有効期限　　　 | 2019-07-ｘｘ
|説明　　　　　 |
ｘｘｘ

お世話になります。アイホンのｘｘｘｘｘです。

標題物件につきまして、ｘｘｘ様への工事案内をお送り致しま

す。へご案内をお願いいたします。何卒、宜しくお願い申し上げます。

https://z8889.intelligent-folder.jp/Z8889/transient/t0000/t0000/・・・（暗号化ＵＲＬ）

* IDとパスワードは別のメールにてお知らせします。
* 有効期限翌日以降はアクセスできません。

以上、よろしくお願いいたします。

※

ところで、このインテリジェントフォルダってどんなものだろう？

• https://www.cresco.co.jp/if/service/if/
• https://www.cresco.co.jp/if/

※