サプライチェーンのインシデントがグラスゴー市議会のサービスとデータを危険にさらす

今月初めに発生した第4のサプライヤーでのセキュリティインシデントがオンラインサービスの中断と顧客データの盗難の可能性を引き起こしたと、グラスゴー市議会が警告しました。

6月19日、市議会のITサプライヤーであるCGIは、自社のサプライヤーが管理するサーバーで悪意のある活動を発見しました。その結果、市議会は影響を受ける可能性のあるサーバーを隔離し、地元住民向けのデジタルサービスが中断されました。

「これには、計画申請の閲覧とコメント、駐車違反やバスレーン違反の罰金の支払い、学校の欠席報告、市の登録官からの証明書の注文が含まれます」と説明しています。

「一部のオンラインダイアリーやカレンダーは利用できません。例えば、家庭のゴミ収集のスケジュールです。ストラスクライド年金基金のメンバーは現在、SPFOnlineポータルにアクセスできません。」

地方自治体の違反についてもっと読む: オックスフォード市議会職員の個人データが露出

市議会は現在、スコットランド警察、スコットランドサイバーコーディネーションセンター（SC3）、および国家サイバーセキュリティセンター（NCSC）と協力してインシデントを調査しています。

「現時点ではデータが実際に削除されたかどうか、またそのデータが何であるかを確認できません」と述べています。

「予防措置として、現在利用できないウェブフォームに関連する顧客データが流出した可能性があると仮定しており、この件について情報コミッショナーオフィス（ICO）に連絡しました。」

市議会は注意を促す

データが盗まれたかどうかが判明するまで、市議会は市民に対し、地元の役人を名乗る個人からのメール、テキスト、電話に注意するよう促しています。

データを持っていると主張する人物から連絡を受けた場合は、スコットランド警察の101に連絡するよう求められています。

「このインシデントをレビューしているセキュリティ専門家は、メールが原因ではないことを確認しました」と市議会は明らかにしました。

「市議会とのメール通信は安全です。ただし、銀行口座の詳細、パスワード、その他のセキュリティ情報を求めるメールには常に警戒してください。市議会はそのような詳細をメールで求めることはありません。」

幸いなことに、この攻撃によって財務システムは影響を受けておらず、グラスゴー市議会は銀行口座やクレジット/デビットカードの詳細が漏洩していないと主張しています。 

影響を受けたサービスの完全なリストは以下の通りです：

• 計画 – 計画申請へのオンラインアクセスが利用できません
• 罰金通知 – 市民は違反証拠にアクセスできず、支払いやオンラインでの異議申し立てができません
• 年金 – メンバーはSPFOnlineポータルにアクセスできません
• 登録官 – 市民はオンラインでの予約ができません
• 収入と利益 – 市民はオンラインでのコールバック予約ができません

以下のオンラインフォームとカレンダーも利用できません：

• 許可証
• 苦情
• 証明書（出生、死亡、結婚）
• コメントと称賛
• 情報公開請求
• 歩道横断申請（縁石の切り下げ）
• 選挙
• 計画執行
• 計画法執行
• 公共行進
• 将来の行進
• 手話通訳サービス（SLIS）
• グラスゴーフィルムオフィスのロケーションライブラリー
• 生徒の欠席
• ゴミ収集カレンダー
• タクシー苦情フォーム
• 市議会の日記

市議会はインシデントの原因を特定していませんが、サーバーの隔離の速さとデータ盗難の可能性から、ランサムウェアや何らかのデータ恐喝が考えられます。

昨年、英国のランサムウェア被害者の約70%がデータを暗号化されており、初期アクセスの主な原因は脆弱性の悪用であると、今週発表されたSophosの報告書によれば、世界平均を大きく上回っています。

2024年には、平均的な身代金要求が年々倍増し、英国の被害者は世界の仲間よりも支払う可能性が高いとされています。