英国の犯罪歴照会機関が、約2年にわたって繰り返し侵入被害を受け、家庭内暴力の被害者を含む数千人分の個人情報が流出していたことが判明し、同国のデータ保護当局から譴責処分を受けました。
情報コミッショナー事務局(ICO)は水曜日、譴責通知の中で、ACRO犯罪歴照会機関(ACRO Criminal Records Office)に対する処分を発表しました。同機関では、アンチウイルスソフトウェアが発したアラートが確認されないまま放置されたことや、重大なシステムが約4年間パッチ未適用のまま放置されたことなど、一連のセキュリティ上の不備が指摘されています。
英国警察全体で保有される機微なデータを幅広く扱う国家警察部門であるACROでは、基本的な対策の欠如により、2021年7月から2023年6月にかけて計3回にわたる別々の侵入をハッカーに許してしまいました。
3件の攻撃はいずれも、ACROの一般向け顧客ポータルを標的にしたものでした。このポータルはKenticoコンテンツ管理システム上に構築されていましたが、複数の既知かつ公開済みの脆弱性を抱えながら、2019年9月以来同じバージョンのまま稼働し続けていました。
Kenticoはこれらの問題に対するセキュリティ修正プログラムを既に配布していたものの、ACRO自身も、マネージドサービスプロバイダーも、Web開発ベンダーも、パッチの監視・適用を誰が担当すべきかを把握していなかったため、修正は一切適用されませんでした。
アラート対応についても同様の問題が見られました。攻撃期間中、システムに導入されていたTrend Microのセキュリティソリューションから、認証情報窃取ツールMimikatzのインストール試行を4回検知・隔離したケースを含む多数の警告が発せられていたにもかかわらず、これらはすべて放置されていました。
ACROはICOに対し、セキュリティアラートの評価や対応に関してどのような業務プロセスが存在していたのか特定できず、アラートの確認とエスカレーションを誰が担当していたのかも把握していないと説明しました。ICOは、アラートに適切に対応していれば、それ以上の不正活動を防げた可能性があると結論付けています。
犯人は誰か
3件の事案の実行者が誰であったのか、また、複数の脅威アクターがそれぞれ関与したのか、あるいは一連の単一の攻撃における複数の段階に過ぎなかったのかについては、明らかになっていません。
ACROはフォレンジック調査を委託しており、ICOによればこの調査で「グループA」「グループB」「グループC」と名付けられた3つの異なる事案が判明したとされています。これらの分類が脅威アクターの活動クラスターを指すのか、それとも独立した実行者の可能性を指すのかは明らかではありません。
報告書によれば、攻撃者の活動を示す証拠は2021年7月9日から2023年6月22日の間にわたって確認されていますが、ICOはこの末尾の日付について、侵害を受けたインフラが廃止された時期を示すものであり、ハッカーがACROの環境に最後にアクセスした時期を意味するものではないと説明しています。
最も深刻な事案とされる「グループA」では、攻撃者が2022年8月から2023年3月までの約7カ月間にわたり、ACROのウェブサイトおよびコンテンツ管理システムへの持続的なアクセスを維持していました。
この間、攻撃者は偵察活動を行い、2023年2月には1万1000人弱の機微な個人データを外部流出のために準備していました。ICOは、ACROが十分なログを保持していなかったため、実際にデータが流出したかどうかを確認できなかった点も指摘しています。
他の事案については詳細な説明はありませんでしたが、そのうち1件はSQLインジェクションにより従業員の認証情報が流出したものとされています。ICOはこれらの事案が約2年間の期間内のいつ発生したかについては明示していません。
ACROは当初、ウェブサイトの停止は必要なメンテナンスのためだと説明していましたが、Evening Standard紙からの問い合わせを受け、2023年4月にサイバーセキュリティインシデントへの対応を行っていたことを公表しました。
その後、Medusaランサムウェアグループが犯行声明を出しましたが、盗まれたとされるデータが同グループのリークサイトで公開されたことは一度もありません。これが身代金の支払いが密かに行われたことを示すのか、それとも声明自体がMedusaによる話題作りのための捏造であったのかは、依然として不明です。
予防措置として、ACROは2023年4月、リスクにさらされていた期間中にデータベースへ申請を行っていた8万4000人超に通知を行いました。これを受けて40件を超える正式な苦情が寄せられましたが、ICOはこれらについて調査は行わなかったとしています。
譴責通知の全体を通じて、ICOは特定の個人や、役職・肩書きを含む管理職個人を名指しすることなく、組織としてのACROに責任があるとしています。主要な委託先企業についても、文書全体を通じて名称が伏せられています。
ICOによれば、ネットワークセグメンテーションが機能していたことで、攻撃者は侵害されたウェブ環境から中核の警察システムへ侵入することを防がれていたとされています。ICOはこの点を、金銭的処分を伴わない譴責処分にとどめた際の情状酌量要因として挙げています。
ACROはその後、侵害を受けたインフラを廃止し、新たなセキュリティ情報イベント管理(SIEM)システムを導入しています。同機関は、本記事の公開前の取材依頼に対して回答しませんでした。
翻訳元: https://therecord.media/uk-criminal-records-office-acro-data-breaches
