SKYSEA Client Viewの脆弱性により情報漏洩が発生した？

最終更新日 2023年09月07日

【SKYSEA Client View情報】脆弱性に関する一部報道について - セキュリティ・脆弱性について｜Ｓｋｙ株式会社 には、以下のとおり書かれています。(この記事の公開年月日は2017年4月12日)

2017年4月11日より、一部のTVや新聞などメディアにおいて、SKYSEA Client Viewの脆弱性について報道が行われています。

お客様、ご販売店の皆様には、ご心配とご迷惑をおかけし、誠に申し訳ございません。

報道されました脆弱性は、弊社が2016年12月21日に発表し、対策パッチの提供、セキュリティ強化を施した最新バージョンのリリースによって対策を進めている脆弱性（CVE-2016-7836）と同一のものでございます。従いまして、昨年12月以来、弊社よりご案内させていただいている対策を実施していただくことで、報道された脆弱性については対策済みとなります。

また、一部報道におきまして、情報セキュリティ会社の調査内容として、SKYSEA Client Viewの脆弱性を悪用したサイバー攻撃で、お客様の機密情報やメールなどが流出した、との指摘がありましたが、現時点で弊社には、お客様からそのような情報窃取の被害報告は入っておりません。

SKYSEA Client Viewに脆弱性が発見されましたが、その脆弱性を悪用するサイバー攻撃により情報漏洩が発生したことは事実ではないようです。

「機密情報が流出」報道にスカイが反論 | 日経 xTECH（クロステック） には、以下のとおり書かれています。(この記事の公開年月日は2017年4月12日)

　この弱点は昨年12月に発見済みのもので、対策のためのパッチや、セキュリティホールをふさいだ新バージョンはすでにスカイから提供済み。だが、それらの対策を取っていないユーザーを中心に依然として被害が続いていることをセキュリティ会社「Secure Works Japan」が指摘。NHKが4月11日の朝のニュースで取り上げたことで大きな注目を集めた。

Secure Works Japanが指摘した内容や、NHKが報道した内容について詳細にわかる記事等は見られませんが、これらが情報漏洩が発生したと誤解される要因になったようです。

組織内のネット素行を監視しているつもりが機密情報ダダ漏れに貢献してしまったというお粗末(山本一郎) - 個人 - Yahoo!ニュース では、該当すると思われるNHKニュースの一部が引用されています。(この記事の公開年月日は2017年4月13日)

ビジネス用ソフトの欠陥突くサイバー攻撃相次ぐ（NHKニュース 17/4/11）

国内の１万余りの企業などに採用されているビジネス用ソフトの欠陥を悪用し、特定の企業を狙って機密情報を盗み出すサイバー攻撃が相次いでいることが情報セキュリティー会社の調査でわかりました。

（中略）

ソフトを開発した会社では去年１２月に欠陥を公表して修正用のプログラムを配布し、情報セキュリティーの専門機関なども注意を呼びかけましたが、攻撃は今も続いているということです。

出典:NHKニュース

このNHKニュースを見ると、SKYSEA Client Viewに脆弱性により情報漏洩が発生したとは明確に書かれていませんが、省略されたところに書かれていたのかもしれません。

同記事には、朝日新聞の報道内容の一部も引用されています。

インフラ、サイバー攻撃か　４年前から、検知しにくく（朝日新聞 17/4/11）

電気やガス、鉄道といった重要インフラを担う企業や官公庁を狙ったとみられるサイバー攻撃の存在が明らかになった。攻撃は４年前からあったが、２年半近く感染に気づかなかったケースも。気づかないうちに大量のデータを盗み取られた恐れもある。新たな感染経路が見つかったとして、警視庁が捜査している。

（中略）

昨年末には新たな経路も見つかった。組織内のパソコンを一元管理するソフト「ＳＫＹＳＥＡ（スカイシー）」の欠陥を悪用して送り込まれる。

（中略）

ＳＫＹＳＥＡは国内の官公庁や金融、インフラなど幅広い業種の約１万組織、累計約４６６万台の導入実績があるという。

出典:朝日新聞

朝日新聞の報道内容にも、SKYSEA Client Viewの脆弱性により情報漏洩が発生したとは明確に書かれていませんが、省略されたところに書かれていたのかもしれません。

朝日新聞の報道によると、SKYSEA Client Viewの脆弱性を悪用しマルウェアに感染させるところまではサイバー攻撃が成功した事例はあったかもしれませんが、情報を盗むところまで成功した事例は確認されていないと考えられます。

つまり、SKYSEA Client Viewの脆弱性により情報漏洩が発生した可能性はありますが、情報漏洩が発生したと断定した企業や官公庁等は存在していないと考えられます。