英国の犯罪記録局ACROは、セキュリティ上の不備によって約11,000人分の極めて機密性の高いデータが漏えいした可能性があるとして規制当局から譴責処分を受けましたが、罰金は科されませんでした。
ACROは2023年4月にこの「サイバーセキュリティインシデント」を公表した際、データが漏えいしたことを示す証拠はないとしていました。
しかし今回明らかになったところによると、攻撃者はACROのウェブサイトとコンテンツ管理システムに7か月以上にわたって継続的にアクセスしており、機密データを外部に持ち出す目的で準備していたということです。
ACROに罰金ではなく譴責処分を下した情報コミッショナー事務局(ICO)によると、この侵害は2023年3月に発覚しましたが、それはACROが別の侵入事案を調査していたことによって偶然発見されたものだったといいます。
ICOの執行用語を解説
ICOはデータ保護違反者に対して複数の執行手段を持っています。
金銭的制裁は文字通り分かりやすいものですが、これは最も悪質かつ露骨な英国GDPR違反にのみ科されます。金額は最大で1,750万ポンド(2,360万ドル)、あるいは組織の全世界での年間総売上高の4パーセントのいずれか高い方に達することがあります。
これより軽い権限としては執行通知があり、違反者に送付されるもので、実質的には規制当局から手を引いてもらうために違反者が取るべき是正措置のリストとなっています。
そして3つのうち最も軽いのが譴責で、二度と問題を起こさないようにという正式な警告としての役割を果たします。これは公的資金の浪費を避けるため、公共部門の組織に対してよく用いられます。
同監視機関によると、ACROスタッフのものを中心に15組の認証情報が侵害されたSQLインジェクション攻撃を調査していたところ、調査担当者は2021年7月8日にまで遡る別の侵入の証拠を発見したとのことです。
ICOによると、これらのインシデントは3つのカテゴリーに分類されます。個人データに影響しなかったものもあれば、少数のアカウント認証情報のみが露出したものもありました。
最も深刻だったのは、ACROのウェブサイトとKentico製コンテンツ管理システムに関わるものでした。この侵入は2022年8月5日に始まり、攻撃者は検知されることなく2023年3月14日まで継続的にアクセスを維持していました。
ICOの調査によると、ACROは2019年9月から2023年3月までKentico CMSのバージョン12.0.0を運用していましたが、その間に公開されたパッチやホットフィックスを適用しておらず、既知の脆弱性が未解決のまま放置されていました。
ICOはこの原因を、ACROとその運用管理サービス事業者との間のコミュニケーション不足にあるとしています。同事業者はパッチ適用が自らの責任であることを2020年2月まで把握しておらず、その後もセキュリティ更新を能動的に監視する必要はないと思い込んでいたということです。
ICOは「Kentico CMSに必要なパッチの特定について責任の所在が曖昧だったことで、パッチやホットフィックスが見落とされる隙間が生じ、それが最終的にACROのウェブサイトを脆弱な状態にしてしまいました」と述べています。
さらに、ACROはKentico CMSのパッチ適用をカバーする文書化されたポリシーを持っておらず、脆弱性がどのように特定・優先順位付けされていたかを示すこともできませんでした。
ACROが導入していたトレンドマイクロ製のアンチウイルスソフトはアラートを生成していたものの、それを監視していた人物はいなかったようです。同記録局はICOに対し、当時どのようなビジネスプロセスがセキュリティアラートの評価や対応のために存在していたかを特定できない、と説明しています(その理由は事後報告書では黒塗りにされています)。
ACROにとって不幸中の幸いだったのはネットワークのセグメント分離で、これにより攻撃者がCMSから他のシステムへ侵入範囲を広げることを防げたと、ICOは指摘しています。
この攻撃が発覚して以降、ACROはセキュリティ面で数々の改善を行いました。侵害されたインフラの廃止(ただし実施は2023年6月までかかりました)、SIEMの導入、可視性・監視・ネットワークセグメント分離の強化、システムの堅牢化、そしてSalesforce Experience Cloudへの移行などです。
ICOの民事・サイバー調査担当グループマネージャーであるJonathan Balmforth氏は次のように述べています。「今回の事案は、基本的なサイバーセキュリティ上の不備が、特に大量の機密性の高い個人情報を扱う組織において、何千人もの人々に重大なリスクをもたらしうることを浮き彫りにしています。
「組織はセキュリティ更新の特定、評価、適用について明確な責任体制を確保しなければなりません。また、サイバー攻撃の兆候を速やかに検知・調査・対処できるよう、効果的な監視体制も整えておく必要があります。
「今回のインシデントから得られる教訓は明確です。適切な技術を備えることと同じくらい、適切なポリシー、責任、監督体制を整えておくことも重要なのです。
「私たちは、これらのインシデント以降にACROが行ってきた改善を歓迎します。他の組織にも、個人情報が適切に保護され続けるよう、自らのプロセスや対応を見直す機会として、この事例を活用していただければと思います」
ACROはICOからの譴責を真摯に受け止め、その後講じてきたセキュリティ強化策を強調しました。
広報担当者はThe Registerに対し、次のように語っています。「2023年3月にサイバーセキュリティインシデントが判明して以降、私たちはシステムと防御策の強化に尽力してきました。
「具体的には、旧ウェブサイトを直ちにオフラインにし、その後廃止しました。また、影響を受けた可能性のある方々にできる限り早い段階で通知するなど、顧客保護のための措置も講じました」
さらに次のようにも述べています。「私たちはICOが指摘した違反事項を受け入れます。今回のインシデントを受けてACROが講じた数々の是正措置について、情報コミッショナーから評価いただいたことに感謝するとともに、今後もデータ保護と情報セキュリティの高い水準を維持していくことをお約束します」 ®
