オーストラリアとニュージーランドの学校で利用されている数学学習プラットフォーム「Mathspace」が、生徒・保護者・教員・従業員1,079,819人に影響するデータ侵害を公表しました。
今回のインシデントは、自社でホストしていたMetabaseレポーティング環境の重大な脆弱性が悪用されたことに起因します。この脆弱性により、攻撃者は正規の認証情報なしに管理者権限でのアクセスを得ていました。
Mathspaceによれば、アクセスログを確認した結果、9月3日に侵入を確認したとのことです。同社の調査により、不正アクセスはオーストラリア東部標準時で8月10日に始まり、8月27日にオーストラリアのレポーティングデータベースからデータが持ち出されたことが判明しました。
この侵害は、Metabaseが8月6日に重大なセキュリティ勧告を公開し、パッチ適用済みバージョンをリリースした直後に発生しています。Mathspaceは、自社の脆弱性通知プロセスがこの勧告を検知・エスカレーションできなかったことを認めています。
同社は後続の通知を受けて8月29日にMetabaseインスタンスを更新しましたが、影響を受けた可能性のある環境に対して推奨される侵害有無の確認作業は完了させていませんでした。その後のログ解析により、攻撃者がパッチ適用前にシステムへアクセスしていたことが判明しています。
流出したエクスポートデータには、ユーザーID、ユーザー名、氏名、メールアドレス、国および タイムゾーン情報、ユーザー種別、メール確認状況、最終アクティブ日時・最終ログイン日時・アカウント作成日を含むアカウントメタデータが含まれていました。
影響を受けたデータベースには現在および過去のユーザー双方の情報が保存されていたため、すでに学校を離れた人やMathspaceの利用を停止した人も対象に含まれている可能性があります。
Mathspaceによると、学業記録、学習活動、評価結果、パスワードまたはパスワードハッシュ、SSOトークン、その他の認証情報、APIクレデンシャルは流出していないとのことです。
また、データはアカウントと学校を直接紐づけるものではありませんでした。しかし、メールドメインから学校の関連性を推測できるため、フィッシング犯にとってこれらのレコードの価値は高まります。
氏名、学校関連のメールアドレス、内部アカウント識別子、活動情報の組み合わせは、ソーシャルエンジニアリングのリスクを生み出します。
攻撃者は、説得力のある侵害通知や、パスワードリセットを装った誘導、学校管理者や教育プラットフォームになりすましたメッセージを作成できる可能性があります。
ユーザーは、公式チャネルを通じてメッセージの真偽を独自に確認し、不審なリンクや添付ファイルを避け、パスワードや確認コードを決して開示せず、使い回しているパスワードを固有のものに変更する必要があります。
封じ込め対応として、MathspaceはMetabase Cloud SQLデータベースをオフラインにし、すべてのMetabase APIキーを失効させ、オーストラリアおよび米国のSnowflake環境でMetabaseのデータベースアクセスアカウントを無効化し、パスワードを変更しました。
また、フォレンジック調査のためにMetabaseアプリケーションのデータベースを保全し、アクセスログをエクスポートしました。同社が不正なアカウントおよびセッションを削除し、復旧条件を検証している間、レポーティングシステムはオフライン状態を維持します。
Mathspaceは9月4日に学校の担当者への通知を開始し、9月6日には影響を受けた個人への通知を行いました。同社はオーストラリアのOAICおよびASD傘下のACSC、ニュージーランドのプライバシー・サイバーセキュリティ当局、そしてオーストラリアの教育省にもこのインシデントを報告しています。
攻撃者の身元は依然として不明であり、Mathspaceはデータが公開、販売、配布、あるいは他の形で悪用された証拠は確認されていないとしています。
セキュリティチームに、不審な活動をより迅速に調査し、ビジネスへの影響が拡大する前に脅威を封じ込めるための可視性とコンテキストを与えましょう。ANY.RUNで調査を強化する
翻訳元: https://cyberpress.org/hackers-exploit-metabase-flaw/
