オーストラリアとニュージーランドの学校で利用されているオンライン数学学習プラットフォームMathspaceが、児童・生徒や保護者、教員、スタッフを含む1,079,819人に影響するデータ侵害を報告しました。
DataManagement
同社によると、攻撃者は自社ホスト型のMetabaseレポーティング環境に存在する重大な脆弱性を悪用し、正規の認証情報を持たないまま管理者レベルのアクセス権を取得したとのことです。
Mathspaceのデータ侵害
Mathspaceは9月3日にこの事案を確認したと発表しました。過去のアクセスログを精査した結果によるものです。調査により、不正アクセスはオーストラリア東部標準時の8月10日に始まり、8月27日にはオーストラリアのレポーティングデータベースからデータがダウンロードされていたことが判明しました。
脅威アクターの身元は依然として不明であり、Mathspaceはデータが公開・販売・配布、またはその他の形で悪用された証拠は現時点でないとしています。
今回のデータ侵害は、Metabaseに関する重大な勧告が8月6日に発表された直後に発生しました。Mathspaceは、自社の脆弱性通知プロセスがこの勧告を特定・エスカレーションできなかったことを認めています。
同社は、その後発表された別の通知を受けて8月29日にMetabaseを更新しましたが、影響を受けた可能性のあるインスタンスに対して推奨されていた追加の侵害確認は実施していませんでした。その後のログ精査により、パッチ適用前に侵入者がシステムにアクセスしていたことが確認されています。
流出したデータセットには、ユーザーID、ユーザー名、姓名、メールアドレス、国およびタイムゾーン情報、ユーザー種別、メール認証状況、さらには最終アクティブ日時、最終ログイン日時、アカウント作成日などのアカウント活動に関するメタデータが含まれていました。
対象記録には現在の利用者と過去の利用者の両方が含まれており、生徒が学校を離れたりMathspaceの利用を停止したりしたとしても、必ずしも影響を受ける対象から除外されるわけではありません。
Mathspaceは、今回の事案では学業記録、学習活動、評価結果、パスワードまたはパスワードハッシュ、シングルサインオン(SSO)トークン、APIの認証情報、あるいはアカウントを学校に直接紐付けるデータは流出していないと強調しています。ただし、識別可能な学校のメールドメインから、犯罪者がユーザーの所属校を推測できてしまう可能性はあります。
氏名、メールアドレス、内部識別子、アカウント詳細情報が組み合わさることで、学校コミュニティを狙った極めて信憑性の高いフィッシング、なりすまし、パスワードリセット詐欺、ソーシャルエンジニアリング攻撃が可能になる恐れがあります。
今回の侵害を受け、Mathspaceは影響を受けたMetabaseインスタンスをオフラインにし、すべてのMetabase APIキーを失効させ、オーストラリアおよび米国のSnowflake環境全体でデータベースアクセスアカウントを無効化した上で、Metabase Cloud SQLデータベースの認証情報を変更しました。
同社はまた、フォレンジック調査のためにアプリケーションデータベースとアクセスログを保全しています。Mathspaceが不正なアカウントやセッションを削除し、安全な復旧のための条件を検証している間、Metabaseはオフライン状態が続く見込みです。
Mathspaceは9月4日に学校関係者への通知を開始し、9月6日からは影響を受けた個人への通知も始めました。今回の侵害は、オーストラリア情報コミッショナー事務局(OAIC)、オーストラリアサイバーセキュリティセンター(ACSC)、ニュージーランドのプライバシーおよびサイバーセキュリティ当局、さらにオーストラリアの教育当局にも報告されています。
影響を受ける可能性のある利用者は、侵害に関連するとされるメッセージについては必ず独自に真偽を確認し、身に覚えのないリンクや添付ファイルを開かず、パスワードや認証コードを決して他人と共有せず、サービスごとに異なるパスワードを使用するようにしてください。学校側も、必要に応じて専門家の支援を求めることができます。
アクティブなマルウェアやフィッシングの発生から24時間以内にSOCを最新の状態に保ちましょう。ANYRUNを試して早期検知でインシデントを未然に防ぎましょう。
Antivirus& Malware
翻訳元: https://gbhackers.com/mathspace-data-breach-exposes-personal-data-of-over-1-million/
