Mathspaceの情報漏えい、約108万人のデータが流出

オーストラリアとニュージーランドの約108万人が、Mathspaceの情報漏えいの影響を受けました。

この教育プラットフォームは9月3日、攻撃者が社内レポーティングシステムに侵入し、生徒、保護者、教師、従業員に関連する記録をダウンロードしたと発表しました。

この侵害が発生する前に、悪用されたソフトウェアに関する重大なセキュリティ警告がすでに発せられていました。この警告がどのように扱われたかが、今回の情報漏えいの重要な要素となっています。

見過ごされたセキュリティ警告が侵入の糸口に

攻撃者は、社内レポーティングに使用されていた自己ホスト型のMetabaseの導入環境を通じて侵入しました。Metabaseのセキュリティ勧告によると、同社は8月6日、接続されたデータへの不正アクセスを許す可能性のある重大な脆弱性について顧客に警告していました。

Mathspaceは後に、脆弱性通知プロセスがこの警告を適切にエスカレーションできていなかったことを認めました。不正アクセスは勧告発表から4日後に始まり、当該サービスが同月中にパッチ適用されるより前にデータがダウンロードされていました。

アップデートを適用しても、それ以前に発生していた侵害はすぐには判明しませんでした。当時は推奨されるチェックが完了しておらず、後に過去のログを見直した結果、侵入が確認されました。

元利用者や学校コミュニティも対象に

Mathspaceによると、ダウンロードされたデータセットには氏名、メールアドレス、アカウントID、ユーザー種別が含まれていました。一部の記録には国や時間帯の情報、アカウント活動に関連する日付も含まれていました。

パスワードやSSOトークン、APIクレデンシャルといった認証情報はダウンロードされていませんでした。学習記録、学習活動、評価結果も対象外でした。

過去のアカウント記録がレポーティングデータベースに残っていたため、退会済みや利用停止中のユーザーも今回の影響を受けています。学校との関連付け情報は直接エクスポートされてはいませんでした。

影響を受けた学校や個人には通知が行われたほか、両国のプライバシー・サイバーセキュリティ当局にも報告されました。Mathspaceはレポーティングシステムをオフラインにし、追加のインシデント対応と復旧作業を開始しています。同社によると、現時点で盗まれたデータが公開、販売、あるいは他の形で悪用された証拠は見つかっていないとのことです。

被害者は漏えい関連のメッセージを自分自身で確認すべき

オーストラリアとニュージーランドの生徒、保護者、教師、職員は、流出したアカウント情報や見覚えのある学校のメールドメインを悪用したなりすましやフィッシングの試みに警戒する必要があります。

被害を受けた利用者や学校の管理者は、情報漏えいに関連する連絡を一段と慎重に扱うことで、こうしたリスクを減らすことができます。

• 公式サイトに直接アクセスする。身に覚えのない情報漏えい通知やアカウントアラートに記載されたリンクをたどるのではなく、自分でMathspaceや学校のウェブサイトを開くようにしてください。送信者が正確な個人情報を把握しているからといって、パスワードや認証コードを教えてはいけません。
• 元利用者は公式チャネルを通じて自分の状況を確認する。Mathspaceの情報漏えい専用ページや公式の問い合わせ手段を利用してください。他のサービスで同じパスワードを使い回していた場合は、Mathspaceがパスワードは盗まれていないとしていても、念のため変更しておくのがよいセキュリティ対策です。
• 学校やIT部門は、家庭に向けて信頼できる確認手段を用意する。正規の情報漏えい関連の連絡がどのような形で届くのかを明確にし、なりすましに対するメールセキュリティ対策を強化すべきです。自己ホスト型のMetabaseを運用しているチームも、パッチ適用済みのバージョンであることを確認し、修正が適用される前の侵害の痕跡がないか過去の活動履歴を調べておく必要があります。

オーストラリアとニュージーランドの学校や被害を受けた利用者は、流出した記録の正確な情報を用いたフィッシングやなりすましの試みに引き続き警戒すべきです。

その他のサイバーセキュリティ関連ニュース: CISAの最新のKEV(既知の悪用済み脆弱性)アップデートには、すでに実際の攻撃で悪用されている7件の脆弱性が含まれており、その中には広く利用されているAIおよびWebインフラに影響するものも複数あります。