教員用PC貸与が発端となった中学生による校内不正アクセス事案についてまとめてみた - piyolog

2019年12月4日、新潟県長岡市内の中学校に通う生徒が校内のサーバーに記録された成績表を改ざんを行っていたとして不正アクセス禁止法などの容疑で書類送検されました。19日に中学校の校長が記者会見を行い、管理体制に不備があり保護者や関係者に不安を与えたとして謝罪しました。ここではこの事案に関連する情報をまとめます。 スライドショー作成のために貸与 事案の概要図 教員が委員会活動のためとして教員用PCを生徒に貸していた。 委員会活動とは具体的には給食時間に発表するスライドショーの準備。全校生徒に学校行事の写真を見せるもの。*1 生徒は自分のPCの性能では作業が追い付かない等と訴え借りていた。*2 使用中は教員が横にいたが、3分ほど教室を離れる時もあった。 生徒による不正行為はパスワード窃取と自宅からのリモート操作により行われていた。 事件に関連するタイムラインを整理すると次の通り。 日時 出来

[n_y_a_n_t_a]

ガバガバのアクセス権とネットワーク設計で使わざるを得ない学校のパソコン。教員に管理させるのは絶対に無理。

[naga_yamas]

NW構成がザル。生徒用と教員用で分かれてない上にそのまま外部に繋がってるとかあり得ない。教員用PCを貸したことも責められるべきだけど、そこは設計段階で想定するべき事象（リテラシーが高い教員ばかりではない）

[lacucaracha]

これ成績を改竄した本人より、他の生徒の成績も丸見えになるような環境を与えた学校側のほうを書類送検すべきじゃねえの？

[furseal]

今年の4月に長岡市は校務支援システムの入札してるので、おそらくこのザルなNW構成は今年度中には文部科学省のガイドラインに沿ったものに見直される予定だったんだと思われる。

[shigeo-t]

デマもまとめられているけど、デマの内容が子供以下で……。

[prograti]

文部科学省が出しているガイドラインに学校側の整備が追いついてないんでしょうね。 予算も限られてるでしょうから。 https://www.mext.go.jp/a_menu/shotou/zyouhou/detail/__icsFiles/afieldfile/2018/04/10/1397369_002.pdf

[monochrome_K2]

この内容だと生徒がPCを使う際にゲスト用など別のアカウントに切り替えれば防げたのでは。アカウントを分けるのはセキュリティの基本だと思う

[deztecjp]

生徒用端末にアプリをインストールできたのは設定漏れだと思う。

[Hagalaz]

中学生だけどあくどいことは確かだよね　教師の信頼、親切を逆手に取ってパスワード解析、HDDを物理的に盗んだりとかだと魔がさしたとかかわいいってレベルではない気はする

[kouyan_h]

普通にソーシャルエンジニアリングが成立してしまっているｗ

[kazuph1986]

テレビで観たときは「なんて脆弱なシステムだぁ」とだけ思っていたけどこの中学生も計画的な悪意のある行動はしちゃってたのね。ただ、システムに関する感想は全く変わらない。

[lowpowerschottky]

“2日わたって” 郊外にHDDを

[cinefuk]

「教員から『委員会活動』と偽りPCを借りる」→「デスクトップ上のショートカットから教員用サーバのIPアドレスを確認。IPアドレスを紙に記録」→「解析用プログラムを使って、教員用サーバのID、パスワードを入手」

[ssids]

HDDの窃盗や教師用PCに任意のソフト入れる程度にやらかすつもりでいっぱいの中学生相手だとすると、例えばネットワーク分離とかしたところでひと手間ぐらいしか増えてない気がする

[HF_frt1623]

PCの共有はせめて別アカウント作るとか対策したほうが良かったと思う。生徒さんには今後の教育が大事で、技術力を良い方向に使ってもらえないものか。

[yood]

職員用HDD盗難だけが異質。入手経路も書かれてない。

[wata_d]

ソーシャルハックなのかなぁ。学内でのいじめ(暴力)なんかはなぁなぁで済ませるのにこういうのは通報するんだ

[Lian]

なかなかやるな

[adsty]

管理体制に不備がいくつもあり見事に悪用された。

[kappaseijin]

“1日目 デスクトップ上のショートカットから教員用サーバーのIPアドレスを確認。IPアドレスを紙に記録。 2日目 解析用プログラムを使って、教員用サーバーのID、パスワードを入手。” 情シスに雇いたい

[SD-ri]

学生さんだけを責めることも、学校側だけを攻める事もできない事件だと思います。

[youichirou]

外部からアクセスできちゃうってのどうなん？

[a96neko]

パスワード解析プログラムを使えば、2～3分でパスワードが判明する

[t_yamo]

なんとなくやってみたらアクセスできちゃったという話かと思ったら、結構明確に不正アクセスの作業してた。

[monbobori]

もう全部、成績を紙管理に。

[ockeghem]

これはパスワードが弱かったことと、おそらくActiveDirectory管理ではなかったようですね>『パスワードを盗み出す行為自体は2～3分程度で完了した』

[momijitan]

1万点のあれはデマだったのね。拡散してしまった、すまそん

[diveintounlimit]

イマドキの中学生すごい

[north_korea]

これがきっかけで「生徒は悪意を持っている」「生徒はサーバーに侵入する」という性悪説で動かないといけなくなるのはつらいな。

[htbman]

性善説が適用できないのは悲しいことだね

[tailtame]

ちょい前にスマホ落としてロックしてないから彼女誘拐事件ありましたね…少し似た感も。PC貸すのはWindows10だとゲストログイン用アカウント作っとくとかなのかなぁ…。その前にHDD盗んでるなら駄目な人っすよ…。

[KillMe]

これ学校のザルさを指差して笑える企業どれくらいあるんでしょうね。

[chirasinouramemo]

中学生をPC・ネットワークから完全に隔離するのが、もっとも安全である。成績データを紙に記録して金庫に保管しても、こいつが侵入して金庫破りしたらどうにもならんぞ。とにかくこいつは人類の敵。滅亡させよう。

[yogasa]

ネットワーク分離して端末にはモニターエージェント入れるあたりが妥当な対策かねえ

[chosukejapan]

視点を変えて、違う方向に力を使おうよ。

[spam_lover]

ショルダーハックしたクソガキを置いておいて、教員がどうとか言ってるアホは消えてどうぞ。

[doksensei]

現場の先生方、生徒対応保護者対応事務処理その他雑務忙しすぎて、新しいことに取り組んでる時間ない。先日もネットリスクについてざっとお話させてもらったけど、小学生より知識ない先生多い。

[natu3kan]

信頼を利用して、教員の端末に直接アクセスするのソーシャルエンジニアリングの王道だよな。学校のHDD窃盗は中のデータが狙いだったのか純粋に盗んだだけなのか。

[Helfard]

思い付きの犯行には見えず。最初から計画的なものだったのでは？

[naqtn]

初期の報道と構成がだいぶ違くない？