ナチュラル・リソーシズ・ウェールズ(NRW)は、現従業員および元従業員に関するダイバーシティ・モニタリングの機微情報を含むスプレッドシートが漏えいする個人データ侵害を公表しました。
同組織によると、今回の事案は2013年4月から2018年3月の間に在籍していた従業員に影響するもので、当該データセットには英国データ保護法上の特別カテゴリー情報が含まれていた可能性があるため、プライバシー上の問題を引き起こしているとのことです。
NRWは、このスプレッドシートは確認された不正侵入によって流出したのではなく、誤って公開されたものだと説明しており、影響を受けたすべての人にすべてのデータ項目が該当するわけではない点も強調しています。
同機関は情報コミッショナー事務局(ICO)に通知し、今回の情報公開に至った経緯や管理体制について調査を進めています。
NRWによれば、流出した項目には民族性、障害の有無、宗教または信条、性的指向、ウェールズ語能力、介護責任、その他の平等モニタリング関連情報が含まれていたとのことです。
これらのデータ項目は個人のアイデンティティに関わる側面を明らかにするものであり、悪意ある第三者の手に渡った場合、標的型フィッシングやなりすまし、嫌がらせ、差別、あるいはソーシャルエンジニアリング攻撃に悪用されるおそれがあります。
認証情報がなくとも、従業員の属性データがあれば、攻撃者は個人の事情につけ込んだメッセージを作成できてしまいます。
今回の情報公開では、データの複製やキャッシュ、スクリーンショットによる保存といった懸念も残りますが、NRWは公開された資料が完全に削除されたことを確認済みだとしています。
NRWの発表によると、同組織は問題を認識した直後に対応に着手しました。対応内容には、ウェブサイトからの情報削除、削除完了の確認取得、公開された資料の流出リスクの精査が含まれます。
今回の事案は義務に従いICOへ報告されました。ただし、通知にはスプレッドシートが公開された時期、アクセス可能だった期間、影響を受けた人数、検索エンジンにインデックスされていたかどうかは示されていません。
これらの未解明の点は、流出範囲の評価や通知対象の範囲、削除前に第三者がデータを複製していなかったかを判断するうえで重要です。
同組織は、現時点で情報が悪用された証拠はないとしています。とはいえ、従業員は不審なメッセージや詳細情報を求める連絡、人事関連の通信には引き続き注意を払う必要があります。
平等関連データにアクセスできる攻撃者であれば、ネットワークや介護責任、語学力、利用サービス、アイデンティティに関わるテーマを絡めた巧妙な誘導文を作成できてしまいます。受信者はNRWの正規窓口を通じて連絡内容を確認し、リンクや添付ファイルを開かず、速やかに不審な動きを報告するべきです。
調査に役立てるため、可能な限りメールやメッセージ、スクリーンショットを保存しておくことが推奨されます。NRWは、再発防止策の見直しを続ける一方で、懸念がある場合は速やかに報告するよう呼びかけています。
今回の事案は、公開作業のフローやアクセス制御、データガバナンスのチェック体制に不備があれば、マルウェアやランサムウェア、ネットワーク侵害を伴わなくても機微情報が漏えいしうることを浮き彫りにしています。
従業員記録を扱う組織は、データの最小化を徹底し、アクセス権を業務上必要な人物に限定し、ファイルを暗号化したうえで、コンテンツを公開する前には承認プロセスを設けるべきです。
さらに、サイト内のスプレッドシートを定期的にスキャンし、資産目録を維持したうえで、機微な項目を検知できるデータ損失防止(DLP)対策を導入することも求められます。
NRWにとって今後の調査課題は、公開に至った経路、流出していた期間、影響を受けた対象者の範囲、そしてログから誰がファイルにアクセスしたかを特定できるかどうかの解明です。信頼回復には、透明性のある継続的な情報公開が不可欠となります。
セキュリティチームに、不審な活動をより迅速に調査し、ビジネスへの影響が拡大する前に脅威を封じ込めるための可視性とコンテキストを与えましょう。ANY.RUNで調査力を強化
翻訳元: https://cyberpress.org/natural-resources-wales-data-breach/
