ラトビアの道路交通局は、同国人口の約3分の2に相当する市民のデータが、大規模なサイバー攻撃によってハッカーに盗まれたことを認めました。この事態を受け、幹部職員の辞任を求める声が上がっています。
道路交通安全局(CSDD)は火曜日、発表を行い、調査の結果、ハッカーが2008年まで遡る支払い領収書のデータにアクセスしていたことが判明したと明らかにしました。今回の情報流出は120万人以上の個人と、20万の企業その他の法人の記録に影響を及ぼしています。ラトビアの人口は180万人強です。
CSDDは車両登録、運転免許証、その他の道路安全サービスを所管する国家機関で、ラトビア運輸省の下に置かれています。
盗まれた情報には、個人識別番号または企業登録番号、車両ナンバープレート番号、支払い金額と日付、さらに車両登録証明書に記載された住所が含まれています。
CSDDによると、顧客の電話番号とメールアドレスは影響を受けておらず、住所情報についても一部の記録では不完全な状態だったとのことです。ユーザー名とパスワードも流出していません。
同局は、日常業務に支障は生じておらず、オンライン・対面双方のサービスも引き続き利用可能だとしています。
ラトビアのコンピュータ緊急対応チーム(CERT.LV)は、犯罪者が盗まれた情報をソーシャルエンジニアリングや詐欺行為に悪用する可能性があると警告しています。
CSDDは現在も攻撃について調査を継続しており、犯人の特定を進めているとしています。また同局は、ナンバープレート番号から車両のメーカーやモデルなどの情報を検索できるサービスへのアクセスを制限しました。
同局は週末にも別のサイバー攻撃の試みに直面したものの、最初の情報流出後に導入したセキュリティ強化策により、これを阻止できたと述べています。
複雑な攻撃
CSDDは先週、この情報流出を最初に公表し、第三者が過去の支払い領収書データを含むシステムへ部分的にアクセスした「複雑な」サイバー攻撃だったと説明していました。
当時、同局はサイバーセキュリティ当局と連携し、攻撃者が使用した「手法と経路」の特定と完全な遮断を進めたと述べていました。
CERT.LVの副責任者を務めるヴァリス・テイヴァンス氏は、「これまでに得られた情報からは、今回の攻撃が標的を定めたものであり、実行に向けた事前の準備が行われていたことがうかがえます」と述べています。「攻撃の性質と使用された手法の組み合わせからも、攻撃者の高い技術力がうかがえます」
CERT.LVは後に、ラトビアの公共放送局LSMに対し、ハッカーはインターネットに公開されていたCSDDのシステムの脆弱性を悪用しており、複数の必須のサイバーセキュリティ要件が満たされていなかったと語りました。
この事件は、攻撃に対する責任の所在をめぐる政治的な論争へと発展しています。
エドガルス・リンケービッチ大統領は火曜日、今回の攻撃は「国家安全保障に対する重大な脅威」であるとし、CSDDの指導部は辞任すべきだと述べました。
リンケービッチ氏はX(旧Twitter)への投稿で、「CSDDの評判と、この機関に対する国民の信頼は損なわれました」と述べています。「このような状況下では、CSDDの経営陣が業務を続けることは許されません」
ラトビア国会議員のアンドリス・クルベルグス氏も、CSDDの経営陣と監督委員会の辞任を求めました。水曜日の朝、同局の監督委員会は辞任を申し出ました。
リガ市長を務めた経歴を持つCSDDのアイヴァルス・アクセノクス局長も水曜日、調査の完了と今回の攻撃の影響への対応を支援した後に、自身も辞任する意向を準備していると述べました。
アクセノクス氏は地元メディアに対し、「ただドアを閉めて立ち去るわけにはいきません」と語りました。「まずは本当に状況の収拾を手助けしたい。その後は、間違いなく職を退くつもりです」
同氏はさらに、「今回の影響は深刻であり、私たちはその責任を強く自覚しています」「私自身もこの職を辞する用意があります」と付け加えました。
責任の所在をめぐる応酬
アクセノクス氏は、今回の情報流出の責任がCSDDのみにあるとは限らないとし、同局のITインフラとセキュリティ監視の一部を担うラトビアの通信・技術企業Tetの名を挙げました。
アクセノクス氏によると、CSDDはTetと5年契約を結んでおり、ファイアウォールやインシデント監視の一部機能を含むITインフラの保守・監視業務を委託しているとのことです。
同氏は、Tetが今回の侵入を検知せず、同局への警告もなかったと述べました。代わりに、CSDDの職員自身が攻撃を発見し、数時間のうちに攻撃を食い止めたとのことです。
Tet側は、責任の所在を今の時点で特定できるとする見方に反論しています。
同社のウルディス・タタルチュクス会長は、攻撃者がどのようにして、いつアクセス権を得たのか、どのシステムが侵害されたのか、セキュリティ対策のどこに不備があったのかを、まず調査担当者が特定する必要があると述べています。また同社は、自社が責任を負うのはCSDDのITインフラの一部のみであり、同局のネットワーク全体ではないとも説明しています。
ラトビアのサイバーセキュリティ・データ保護当局は引き続き今回の事件を調査しており、国家警察も刑事手続きを開始しています。
今回の事件は、この夏初めに発生した、ラトビアの別の国有組織を狙った大規模なサイバー攻撃に続くものです。6月には、国有林業会社LVMがランサムウェア攻撃を受け、同社の地図プラットフォームや狩猟用アプリケーション、請負業者・顧客との情報交換に使うシステムに支障が生じました。
この攻撃は、LVMがラトビアの電子有権者登録システム(どの投票所でも投票できる仕組みを可能にするシステム)の開発に携わっていたことから、一段と注目を集めました。当局者らは、この選挙システムは別途独立して開発されており、そのソースコードはLVMのネットワーク上に保存されていなかったため、影響はなかったと説明しています。
翻訳元: https://therecord.media/latvia-cyberattack-vehicle-data
