ある委託業者からスコットランド政府職員の個人情報が流出しました。侵害の全容は、現時点で報じられている範囲をはるかに超える可能性があります。
8月13日、スコットランド政府の公訴機関であり死因調査当局でもある王室検察庁(Crown Office and Procurator Fiscal Service、COPFS)は開示を行い、身元不明の外部業者がデータ侵害に遭ったことを明らかにしました。この侵害により、同庁職員の一部の個人識別情報(PII)が影響を受けました。
開示内容によれば、COPFSは国の政府が主催し第三者機関が運営するオンラインのデータ成熟度評価に参加していました。アンケートに回答すること自体が既に負担であったにもかかわらず、8月5日にはこの調査を実施した業者が、おそらく自社の内部ネットワークに影響を及ぼす「不審な活動」を検知し、その結果として政府職員のデータが流出しました。
実際の被害範囲はさらに拡大する可能性もあります。このデータ成熟度評価は複数の部局にまたがる義務的な研修の一環であり、COPFSだけでなく他のスコットランド政府機関も同じ評価に参加していたとみられるためです。
他の組織も侵害されたのか
2021年、スコットランド政府は「データ成熟度プログラム(Data Maturity Programme)」を開始しました。毎年、政府機関のグループがさまざまな活動や研修に参加しています。COPFSの開示でも触れられているとおり、この研修の一つが「データ成熟度評価」です。
Dark Readingは、この評価を主に運営していたとみられる組織を特定しました。英国を拠点とする第三者の調査会社、Data Orchardです。同社は1月に発表した「インパクトレポート」の中で、昨年、スコットランドのデータ成熟度プログラムの一環として、公共部門組織の5期目のグループをデータ成熟度評価プロセスで指導したと述べていました。
本稿執筆時点で、Data OrchardがCOPFSのデータ流出の発生源であると公式に特定されているわけではありません。また、データ成熟度評価に起因する流出被害を受けたスコットランド政府機関がCOPFSのみなのか、さらに責任を負う第三者が他の顧客のデータも流出させていた可能性があるのかも不明です。同社のウェブサイトによれば、Data Orchardは最近、世界自然保護基金(WWF)やウェールズ政府など、さまざまな大規模組織と協業しています。
Dark ReadingはData Orchardおよびスコットランド政府の複数の関係者に本件についてさらなる情報を求めて連絡を取っており、回答があり次第、本記事を更新する予定です。
スコットランドの司法機関、職員データが流出
COPFSは、氏名、役職、職場のメールアドレスを含む職員データが流出したことを認めています。担当案件や被害者、証人に関する情報は影響を受けていません。
COPFSの担当者はDark Readingへのメールで、影響を受けた人数は約300人であり、IPアドレスは流出したデータには含まれていないと述べました。
Black Duckのプリンシパルセキュリティエンジニア、Boris Cipot氏は、たとえ数百人規模の職員に限られた種類のPIIが流出しただけであっても、スコットランド政府にとってのリスクは依然として深刻だと警告します。「一見限定的に見える従業員情報であっても、価値ある偵察データになり得ます」と同氏は説明します。「現実的な攻撃シナリオの一つは、高度に標的を絞ったフィッシングです。氏名、役職、政府のメールアドレスを知っている攻撃者は、内部部局や信頼された委託業者、政府のパートナーから送られてきたように見える説得力のあるメッセージを作成できます」
攻撃者は、たった一度の説得力あるフィッシングをきっかけに、複雑なキャンペーンを構築することができます。
「影響を受けたのが数百人程度だからといって、リスクを軽視すべきではありません」とCipot氏は指摘します。「セキュリティインシデントは必ずしも規模の大小で語られるものではありません。攻撃者がより広範な環境への足がかりを得るには、たった一つの侵害された従業員アカウントで十分な場合が多いのです」
政府はベンダーリスクをどう管理すべきか
一般的に、政府は膨大な数の第三者委託業者を抱えています。だからこそ、政府のデータやシステムの侵害は、しばしば民間企業側で発生したインシデントに端を発しています。
問題は、SecurityScorecardの脅威リサーチャーであるCory Kennedy氏によれば、「欧州・北米におけるベンダー審査の大半が、いまだに一時点のみのモデルで運用されている」ことにあります。「オンボーディング時のアンケート、SOC 2やISO 27001の認証取得が添付されて、そこから1年間は実質的に何のチェックもない。そのスナップショットは即座に古くなってしまいます。COPFSの件はまさに教科書どおりの事例です。今回の情報流出は、一回限りの評価のために雇われた調査業者のもとで発生しました。これはまさに、誰の継続的モニタリングリストにも決して載ることのない、周辺的な業者の典型例です」
改善は書類仕事を増やすことでは実現しない、と同氏は言います。
「重要なのは、年次の証明書提出方式から、委託業者の実際の攻撃対象領域を外部から継続的に監視する方式へと移行すること、そしてその可視性を直接の委託業者だけでなく、その先の依存関係にまで広げていくことです」とKennedy氏は説明します。「NIS2やDORAは、既に欧州をその方向へと押し進めています。本当に重要な転換とは、委託業者のリスクをリアルタイムの脅威問題として扱うようになることです」
Cipot氏もこれに同意します。「私の見解では、組織はしばしば最初の評価プロセスに過度な自信を置きがちです」と同氏は述べます。「あるベンダーが、あらゆるコンプライアンス審査を通過しながら、その数か月後に侵害に見舞われることもあり得るのです」
翻訳元: https://www.darkreading.com/cyberattacks-data-breaches/scottish-govt-data-breach-prosecutors-office
