ITmedia エンタープライズ

　米連邦取引委員会（FTC）は衣類ベンダーのGuessと争っていた訴訟で同社と和解した。FTCはGuessのウェブサイトであるGuess.comが適切なセキュリティ対策を取っていなかったとして、同社を訴えていた。

　FTCは、Guessが2000年10月以降、自社サイトを“common SQL injection”などの「一般的に知られている」アタックにさらしていたと同社を糾弾したが、Guessは消費者のデータを保護していると主張していた。2002年2月、SQL injectionによってGuessのデータベースに保存されていたクレジットカード情報（数は非公開）が公開されてしまったとFTPでは述べている。

　18日に発表された和解により、Guessは顧客の個人情報のセキュリティについて虚偽の申告をすることを禁じられる。Guessは自社のウェブサイトで包括的なセキュリティプログラムを動作させ、管理し、独立したセキュリティ監査役からFTCに対して2年毎に20年間にわたって報告することを義務づけられた。

　これは、FTCにとって過去1年半で3件目の和解である。2002年1月にFTCはEli Lillyに対し、同社が抗鬱薬であるProzacの利用者669人分のメールアドレスを「to:」フィールドに入れたまま配信したとして訴えた。2002年8月にはMicrosoftを、Passport Web Password Serviceのセキュリティ問題に関して提訴した。

　FTC消費者保護局の金融慣行担当アソシエイト・ディレクターであるジョエル・ウィンストン氏によれば、FTCではWebセキュリティに対するセキュリティ意識を高めるために、企業に対する訴訟と教育プログラムを含めたさまざまな手法を駆使しているという。

　Guessとの和解と並行して、FTCではビジネス向けのファクトシートを発行した。「セキュリティチェック：あなたの会社のコンピュータシステムのリスクを減らす」と題された文書で、www.ftc.govから入手可能になる予定だ。この文書の中には単なる情報だけではなく、最重要インターネットセキュリティ脆弱性トップ20を解説しているwww.sans.orgをはじめとするWebサイトへのリンクも含まれている。Webアプリケーションのセキュリティ脆弱性トップ10は、www.owasp.orgがリンクされている。

　「われわれは消費者と企業に対してセキュリティの重要性を訴えかけようとしている」とウィンストン氏。「ある意味、このメッセージは非常に基本的で広範囲にわたるものだ：ある製品について、それがどういうものかを人々に伝えるには、そうする必要がある」と同氏。

　Guessはこの和解についての声明を発表している。しかし、それ以降の対応については答えていない。「われわれはFTCの査察に完全に協力した。1年以上前、ハッカーが当社のサイトに一度だけ侵入したときには、被害を受けた消費者はいなかった。それ以降は、われわれは消費者の個人情報のセキュリティの安全を最大限に確保するためにサイトのアップグレードを行った。今後に関しては、当社は消費者のプライバシーを安全なものにするために監視を行い、自社サイトの改善を継続していく」と、この声明は述べている。

　FTCによれば、Guessは消費者に対し、個人情報は保護されていると伝えていた。たとえば、同社のWebサイトには、「このサイトはわれわれのコントロール下でセキュリティ対策が立てられており、情報の遺失、不正利用、変更が行われないようになっている」「クレジットカード情報、サインイン用パスワードを含むあなたのすべての個人情報は、いかなるときも読み取り不可能な、暗号化された形式で保存されている」と記載されていた。

　同社は顧客データをは暗号化された読み取り不可能なフォーマットで保存していたと主張していたが、2002年2月のアタックで侵入者は消費者のクレジットカード情報を暗号化されていないテキストで読むことができたとFTCの訴状には書かれている。ウィンストン氏はSQL injectionアタックによって漏洩したクレジットカード番号の数については明かさなかった。

　「考えなしにこのような主張をしている企業はたくさんあると思われる」と同氏。「今回のケースでは、（アタックが）予測できるリスクだったと考えた。相当の調査を行った」とウィンストン氏。

　FTCは和解案について5-0で賛成した。合意文に対する一般コメントは7月18日までの30日間受け付け、それ以降にFTCはこれを最終案にするかどうか決定する。