「KADOKAWAのWebサイトが改ざん、マルウェア感染の可能性も」記事へのコメント

角川の対応に対する批判

[chuukai (18189)]

私の日記 [srad.jp]にも書きましたが、角川の対応には疑問があります。
・シマンテックが（具体名を伏せたとはいえ）サイトの改善を指摘しなければ公表されなかったのではないか
・公表に際しても、サイトのトップページに「弊社ホームページ改ざんに関するお詫びとご報告」という文言のみの画像ファイルでリンクして、さらにリンク先のPDFには検索避けのためか、文章中に「弊社」とあるのみで文書の名義を書いていません。これではマルウエアに感染したおそれがある閲覧者へ広く周知するよりは自社に対する評判が下がることを気にしていると批判されてもしかたがないでしょう。

ちなみに、Internet Watchでは、シマンテックの報告内容とKADOKAWAの発表では、細かい部分で異なる部分があるそうで、私の日記では（シマテックから）「突かれないと公表もしなかったんじゃないか」と書きましたが、

KADOKAWA側も、今回の改ざんは「外部の通報を受けて調査を開始したもの」だとしているが、どうやらシマンテックからではない模様

だそうです。

Re:角川の対応に対する批判

[chuukai (18189)]

誤「サイトの改善」
正「サイトの改ざん」

Re:角川の対応に対する批判

[YHP (46365)]

シマンテックが，角川の改ざんを放置するのは社会通念上許されないというような，道義的責任から指摘したのでは無くて，シマンテックと角川が契約しているVerySignのサービスでサイト改ざんが発見されたから指摘したと言うのが真相でしょう． 角川は外部委託という形で自社サイトの安全性を保とうと努力していたからこそ，今回の形のような発覚があったわけです． そういう意図があったとしてもSEO対策程度の許される隠蔽ですらから，そこまで問題視する必要も無いでしょう． フジテレビのバッシングを見ていると，こういう対策も企業には必要なのだろうなと思います．

Re:角川の対応に対する批判

[Anonymous Coward]

この程度で目くじら立ててたら、みんなが無責任にすすめるIPAへの報告とか実際にやってみた日には軽く絶望できるよ。

Re:角川の対応に対する批判

[chuukai (18189)]

Webアプリケーションの脆弱性に関する報告なら、つい最近IPAさん本人から報告を勧められました。
でも私はIPAに報告するよりサイト管理者に直接連絡しています。
多分そのほうが自分の交渉スキルの上達につながります。

Re:

[Anonymous Coward]

> でも私はIPAに報告するよりサイト管理者に直接連絡しています。

冗談抜きで絶対にそのほうがいい。「サイト管理者にはオーストラリア公共交通や岡崎図書館のようなところもある」とか恫喝をかけてくる者もいるだろうが、くれぐれもIPAの口車に載せられるな。

Re:

[Anonymous Coward]

とりあえず、その理由や具体事例を書くと説得力が上がると思う。
＞「サイト管理者にはオーストラリア公共交通や岡崎図書館のようなところもある」
は残念ながらゆるぎない事実なんで、それを踏まえた上でなお直接報告するほうが良いことの根拠がないとただの煽りでしかない。
いやマジで、色々苦労されたのならその教訓を共有していただきたい。

Re:

[Anonymous Coward]

サイト管理者へ連絡して何らかのアクションが帰ってきたことは１度か２度くらいで、ほとんどが無視するか、こっそり修正して知らんふりですね。
サイト管理者がいるかどうかすら怪しい。

そういう通報を繰り返していると、だんだん虚しくなります。