- Cybernewsが発見したCarlaの露出したAWSバケットには、顧客のレンタル情報を含むPDFファイルが48,000件保存されていた
- ファイルには氏名、メールアドレス、電話番号、レンタル詳細、フィッシングに悪用可能な移動パターンが含まれていた
- Carlaは開示を受けてデータベースを保護。悪意ある第三者によるアクセスの証拠はないが、リスクは残る
レンタカーの比較・予約プラットフォームであるCarlaが、顧客の機密情報を含むデータベースをインターネット上に無防備なまま公開していたことが分かりました。探し方さえ知っていれば誰でも自由にアクセスできる状態だったのです。
Cybernewsのセキュリティ研究者らは、約48,000件のPDFファイルが保存されたAmazon Web Services(AWS)の露出バケットを発見したと報告しています。後にCarlaのものと判明したこれらのファイルには、レンタカーの詳細情報とドライバーの個人情報が含まれていました。
これらのファイルには、バウチャーや確認番号、ドライバーの氏名、メールアドレス、電話番号、レンタル期間、料金、受け渡し・返却場所、車両の一般情報などが含まれていました。
Carlaの対応
Cybernewsによると、これらのデータは説得力のあるフィッシング攻撃に悪用される恐れがあるといいます。悪意ある攻撃者は連絡先情報を入手できるだけでなく、個人の移動パターンまで把握できてしまいます。これはソーシャルエンジニアリング攻撃において被害者の信頼を得るための重要な手がかりとして利用されかねません。
Cybernewsが発見内容をCarlaに開示した後、同社はデータベースを保護しました。現時点で過去に悪意ある第三者によってアクセスされた証拠はありませんが、Cybernewsは「私たちのチームが発見できたということは、無防備な企業データを専門に探す自動化ツールを持つ脅威アクターも同様に発見していた可能性がある」と指摘しています。
同サービス自体は車両を所有しておらず、旅行予約サイトのように数百のレンタカー事業者から提供される情報を集約し、利用者が価格を比較してオンラインで車を予約できる仕組みを提供しています。
設定ミスのあるデータベースは、依然として大規模なデータ流出の主要な原因の一つです。企業はクラウドプロバイダーの責任共有モデルを誤解していることが多く、その結果システムをデフォルト設定のままにしたり、推測されやすい脆弱な認証情報を設定してしまったりするケースが後を絶ちません。
Cybernewsは最近、Nextcloudに属する露出したElasticSearchクラスタを発見したと報告しており、これには従業員データ、取引先企業のデータ、契約書、各種スクリプトなど367,000件のレコードが含まれていました。
