「三菱UFJニコス、OpenSSLの脆弱性を狙った攻撃を受けて会員情報が不正に閲覧される」記事へのコメント

事件前後の月日の記録と、住信SBIの例

[hirano (13505)]

日本時間4月9日頃にOpenSSLバグの記事はネットに流れていると思います。
4月12日朝の時点で（三菱東京UFJ銀、三井住友銀行、住信SBIネット）の
三つは公式サイト表紙にOpenSSLへの注意書きが出てなかったことを確認しました。
4月12日に住信SBI銀行に問い合わせメールを出したら
16日に「報道されておりますOpenSSLの脆弱性に関しまして、当社サイトのご利用にあたり、
　お客さまのお取引に影響のあるセキュリティ上の問題はない...（後略）」
という要旨の返事が来ました。
その返事の少しあとに住信SBI公式サイト表紙にopenSSLバグへの注意書きが出たはず。
ということで住信SBIも今回おそらく無傷だろうけど対応は遅い印象。
三菱、三井、住信ともしっかりやってほしいです。
なお米国銀行事情を書いた英文記事みると、
American Banker [americanbanker.com]　の記事(4月11日)だと
Citigroupが「安全ではない様子」と判断されてます。

Re:事件前後の月日の記録と、住信SBIの例

[headless (41064)]

• openssl.orgが修正版とセキュリティ情報 [openssl.org]を公開したのが日本時間の8日午前2時過ぎ
• 本家/.記事 [slashdot.org]になったのは午前9時過ぎ
• /.Jにタレこみ [srad.jp]があったのが午後1時過ぎ
• /.J記事 [srad.jp]になったのが午後7時前
• 国内のIT系メディアの多くは8日中にこの件を報じる
• JPCERT/CC [jpcert.or.jp]やIPA [ipa.go.jp]、JVN [jvn.jp]も8日に脆弱性情報を公開
• Amazon(AWS) [amazon.com]やグローバルサイン [globalsign.com]なども8日中に情報を掲載

という感じですね。一方、警察庁の注意喚起 [npa.go.jp]が出たのは10日で、新聞やテレビが大きく取り上げ始めたのはそのあとだったと思います。

Re:事件前後の月日の記録と、住信SBIの例

[hirano (13505)]

ご指摘ありがとう。すると国内IT系メディアが4月8日に報道しているなら
4月12日で三菱、三井、住信ともサイトの表紙に警告を出してないのは本当に遅いですね。
（内部の対応は別として、利用者一般に状況を知らせてない意味で）

Re:

[Anonymous Coward]

問題が出てないことについて公表することはないのが銀行
問題が出ても内部確認とかで概要を出すのに一週間以上かかるのが銀行
ちなみに詳細はでないことが多い