米国：フライドチキンレストランチェーンZaxbyの端末装置がマルウェアに汚染され，顧客のクレジットカード情報等がスキミングされたらしい

下記の記事が出ている。

　Credit card-stealing malware infests nearly 100 Zaxby's chicken restaurants
　infoSecurity: January 17, 2013
　http://www.infosecurity-magazine.com/view/30299/credit-cardstealing-malware-infests-nearly-100-zaxbys-chicken-restaurants/

日本にはZaxbyの店舗が存在するのかどうか知らないのだが，同様の手法による顧客情報の無権限取得を目的とするマルウェアは多数存在する。

様々なファーストフードレストラン等のレジ等でも同じようなことが起きるかもしれない。

もちろん，クレジットカード会社は，「端末装置は安全だ」と主張するだろう。しかし，手口はいくらでもある。とりわけ，昨今では，安全管理のための仕組みを管理する部分の制御を奪ってしまうタイプのマルウェアが多く，要するに本来の管理者の権限よりも上位の権限を確立してしまうマルウェアが多いので，普通の情報セキュリティの考え方や技法では全く対処不能な状況が生成されつつあるということを明確に認識すべきだと思う。

非常に多くの場合，クレジット会社の「端末装置は安全だ」という考えは，「根拠のない自信」の一種に過ぎない。

実は，端末装置だけではなく，クレジット会社のサーバの支配権それ自体が既に奪われているかもしれないということを常に念頭に置いて業務を遂行する必要がある。

この場合，理論的には，サーバのシステム内における通常の管理権限よりももっと強い権限に基づく完全なモニタリング（通信回線の監視だけではなく，役員及び従業員の私生活を含む24時間の常時監視）を実行し，かつ，公衆回線の全ての物理的部分について完全な常時監視を実施しない限り，「安全だ」と宣言することはできない。

けれども，そんなことはできるはずがない。

仮にそうすることができたとしても，国防目的により各国の諜報機関によるモニタリング（DPI等及び暗号解析）が常に実施され，常に成功している。

要するに，ネットワークシステムを使用する限り，「機密性」は存在し得ない。したがって，事実としては，「完全な安全性など世界中のどこにも存在しない」と考えるのが正しい。

とは言っても，それでは普通の企業は困ってしまうことだろう。

そこで，強いて言うと，国家機関等ではない普通の犯罪者レベルの者に対する防御ができている場合であれば，「通常想定可能な範囲内にある犯罪行為に対する標準的な対策は講じております」くらいの説明はしても良いだろうと考えている。