セキュリティ
身元不明の第三者が不審な活動を検知、氏名・役職・メールアドレスが影響を受けた可能性
スコットランドの公訴機関は、取引先の1社が受けたサイバー攻撃によって個人情報が流出した可能性があるとして、スタッフ300人に注意を呼びかけました。
スコットランド検察庁（Crown Office and Procurator Fiscal Service、COPFS）は木曜日にこの事案を公表し、名前を明かしていない第三者サプライヤーが8月5日に不審な活動を検知し、その後調査を開始したと明らかにしました。
COPFSは自らのシステム自体は侵害されていないとした上で、今回の事案は同庁が昨年実施したオンラインのデータ成熟度評価に際して提供した情報に関わるものだと説明しています。
この評価はスコットランド政府が主催し、問題のサプライヤーが運営を担っていました。COPFSによれば、流出した可能性がある情報はこの評価のために提出した雇用関連データに限られ、スタッフの氏名、役職、業務用メールアドレスが含まれるとしています。
COPFSの広報担当者はThe Registerに対し、次のように述べています。「COPFSは、スコットランド政府のパートナー企業がデータセキュリティ侵害を受けたことを把握しています。この事案により、公共部門のデータ成熟度調査に参加したCOPFSの職員約300人が影響を受けたものと理解しています。
「これは案件の処理業務とは無関係であり、機密性の高い、あるいは秘匿性のある案件情報は一切関与していません。検察業務への影響もありません。
「職員に対しては、今回の第三者による侵害に起因して発生し得るフィッシングや詐欺の試みへの対処方法に関するガイダンスを、改めて周知しました」
COPFSによれば、当該サプライヤーは自社システムの保護対策を講じたものの、侵入の手口や具体的にどの情報にアクセスされた可能性があるかについては、いまだ調査を続けているとのことです。COPFSは「重要な新情報」が判明した場合には、改めて続報を発表するとしています。
今回の事案が、ビジネスインテリジェンスプラットフォームMetabaseのゼロデイ脆弱性を突いた最近の攻撃と関連しているかどうかは、現時点では不明です。スコットランド政府は、影響を受けたサプライヤーが同ソフトウェアを使用していたかどうかという当方の質問には回答していません。
Metabaseは今月、自社のクラウドサービスに存在していた未知の脆弱性を攻撃者に悪用され、管理者権限を奪取された上で接続先のデータベースにアクセスされる恐れがあったことを公表しています。今週すでに報じた通り、モジュール式ノートパソコンメーカーのFrameworkもこの影響を受けた企業の1社でした。
現時点では、今回のサプライヤー侵害事案について不明な点が多く残されており、誰が侵入したのか、何にアクセスされたのかについてはほとんど答えが出ていません。®
