LACMA、4日間のサイバー攻撃で1年越しの余波

ロサンゼルス郡立美術館(LACMA)で1年前に発生したサイバー攻撃により、社会保障番号や財務情報、医療情報が流出した可能性があることが明らかになりました。

LACMAによると、2025年7月に何者かが不正にネットワークの一部へ4日間にわたってアクセスしたとのことです。これを受けて、影響を受けたファイルについての調査が開始されました。その後数カ月に及ぶ追加調査の結果、一部のファイルに極めて機微な個人情報が含まれていた可能性があることが判明しました。

同美術館は2026年8月24日にこの侵害を公表しましたが、影響を受けた顧客や従業員の人数については明らかにしておらず、また情報が悪用された証拠も報告されていません。

この公表を受けて、元従業員による法的措置も起きています。訴えを起こした人物は、LACMAが自身の情報を適切に保護しなかったこと、そして通知までに時間がかかりすぎたことを主張しています。

LACMAが1年後に侵害を公表した理由

侵入は4日間という短い期間で発生しましたが、その影響を公に明らかにするまでにLACMAは1年以上を費やしました。同美術館は2025年7月11日に不審な活動を検知し、その後の調査で、7月7日から7月11日にかけて第三者が不正にネットワークの一部へアクセスしていたことを確認しています。

LACMAはサイバーセキュリティの専門家と協力し、影響を受けたデータの特定と精査を進めてきました。

同美術館が最初のデータ精査結果を受け取ったのは2026年2月下旬でした。LACMAによると、影響を受けたファイルには氏名、生年月日、社会保障番号、運転免許証または政府発行のID番号、さらに限定的な金融口座情報やカード決済情報が含まれていた可能性があるとのことです。このほか、健康保険に関する情報や、診断内容・治療内容・治療を受けた施設といった限定的な 医療情報にもアクセスされた可能性があります。

同美術館によれば、影響を受けた情報の種類は個人ごとに異なり、必ずしも1人がすべての情報について流出の対象となったわけではないとしています。

LACMAは影響を受けた顧客や従業員の人数を公表していませんが、BleepingComputerによると、同美術館は年間100万人以上の来館者を受け入れており、これが被害の規模を推し量る一つの手がかりになるとしています。

訴訟という新たな展開

LACMAは影響を受けた個人に対し、金融口座の状況を注視し、不正利用防止アラートの設定やクレジット情報の凍結を検討するよう呼びかけました。この事案を受け、元従業員による集団訴訟(クラスアクション)も提起されています。

Artforumによると、LACMAの元従業員であるAdam Piron氏が同美術館を相手取り、集団訴訟を提起しました。訴状では、同美術館が預かった個人情報を適切に保護しなかったこと、また自身の情報が流出した可能性について通知するまでに時間がかかりすぎたことを主張しています。 

報道によれば、Piron氏が提起した集団訴訟では、金額を specifiedしない損害賠償に加え、LACMAにセキュリティ対策の強化を義務付ける命令を求めているとのことです。

訴状はさらに、通知の遅れによってPiron氏をはじめとする集団訴訟の対象となりうる人々が、自身の情報が流出した可能性を知らないままなりすまし被害やその他の金銭的・個人的な被害のリスクにさらされていたと主張しています。

今回の侵害から学ぶべき教訓

この侵害はすでに法的な影響を及ぼし始めています。報道によれば、Piron氏が2018年から2020年まで在職していたとされることも、組織が退職者の機微な情報をどれだけの期間保持すべきかという問題を浮き彫りにしています。

これが重要な理由は、機微なデータが組織のシステム内に残る期間が長くなればなるほど、そのデータが侵害の対象となりうる期間も長くなるためです。

もう一つの教訓は、侵入発生後の不確実性がもたらすコストです。LACMAのケースは、長期にわたるデータ精査や連絡先情報の確認作業が、公表の遅れにつながりうることを示しています。

機微なデータを保有する組織にとって、今回の事案は 侵害対応が攻撃者の排除をもって終わるわけではないことを改めて示しています。

セキュリティチームは、どのファイルにアクセスされたのかを特定し、リスクにさらされている人々を洗い出し、当事者が予防策を講じられるだけの十分な速さで通知を行う必要があります。組織は、不要なデータ保持を減らし、正確な記録を維持し、フォレンジック調査や法的レビューにあらかじめ備えておくことで、こうした負担を軽減できます。

LACMAからの通知を受け取った人は、どのような情報が影響を受けたのかを確認し、関連する口座の状況を注視するとともに、クレジット情報の凍結を検討し、個人情報を悪用して本物らしく装うフィッシング詐欺にも警戒すべきです。なお、LACMAは情報が悪用された証拠は報告していません。

関連記事: 67万8000人に影響を及ぼしたフランス税務当局の情報漏えいは、盗まれた財務情報や個人情報がフィッシング詐欺やなりすまし、不正利用にどうつながりうるかを示す事例です。