- 研究者が、過去のデータ侵害や漏えいに由来する1,370万件のレコードを含む、露出したデータベースを発見
- アーカイブにはパスワードや銀行口座情報のほか、AT&TやAmazonなど大手企業に関連するデータが含まれていた
- データベースは開示後に保護されたが、露出した流出データ保管庫がもたらすリスクが続いていることを浮き彫りに
インドのソフトウェア開発プラットフォームを運営するVibetechが、さまざまな漏えいやサイバー攻撃で流出したデータを収集し、一つの巨大なリポジトリにまとめていたとみられます。
こうした行為そのものの合法性にも疑問がありますが、それと同じくらい重大なのは、このアーカイブがインターネット上に無防備に置かれ、場所を知っていれば誰でもアクセスできる状態だったことです。
AT&T、PayPalなど
この問題を明らかにしたのは、暗号化もパスワード保護もされていないデータベースをウェブ上で探し出すことで知られるセキュリティ研究者、Jeremiah Fowler氏です。
Fowler氏の調査によると、このデータベースには1,370万件のレコードが格納されており、氏が「過去の侵害に由来する極めて機密性の高いデータの集積」と呼ぶ情報が含まれていました。氏名、電話番号、メールアドレス、パスワード、銀行口座情報などです。
「限られたサンプルの中でも、複数の国の個人のアカウントや認証情報を確認した」と、Fowler氏は述べています。
アーカイブは企業名ごとに分類されていました。レコードの大半（約800万件）はAT&Tのデータ漏えいに由来します。そのほか、Amazon（120万件）、Walmart（42万件）、BluBank Digital Bank（2万4,000件）、PayPal（1万8,000件）などが確認されました。FBIの職員名簿（4,084件）やInterpol（929件）に由来する、比較的小規模なデータまで含まれていました。
これは決して一般的な流出データのアーカイブではありません。パスワードや銀行口座情報が含まれているため、危険性は桁違いに高いといえます。攻撃者はオンラインアカウントに直接アクセスしたり、権限を昇格させてランサムウェアを展開したり、場合によっては銀行口座から直接資金を送金したりできるためです。
Fowler氏はその後、このデータベースのIPアドレスがVibetechの運営または開発するデータインテリジェンスプラットフォームに接続されていることを突き止めました。同氏は、同社が過去の侵害や漏えいで流出したデータセットを収集しており、それを認証なしで誤って一般公開してしまったとみています。
研究者は同社とホスティングプロバイダーの双方に通知しました。その後まもなくデータベースへのアクセスは制限され、一般公開されない状態になりました。さらに翌日には、このIPアドレスで平文の認証情報は確認できなくなり、代わりに情報セキュリティマネジメントシステム（ISMS）のコンプライアンスプラットフォームのダッシュボードが表示されていました。
無防備なデータベース ― インターネットプライバシーの脅威
Fowler氏の報告書によれば、流出した認証情報のデータセットを意図的に収集・販売する組織が「増加している」といいます。目的は研究、監視、脅威インテリジェンスなどとされていますが、その活動がどこまで合法なのかは疑問です。
「こうしたデータセットは、攻撃動向や認証情報の使い回し、新たな脅威に関する貴重な知見をもたらす可能性がある。しかし、侵害された個人情報を収集する組織は、法的にも倫理的にも複雑な環境で活動している」と、Fowler氏は指摘します。
無防備なデータベースは、データ漏えいの主な原因の一つです。多くの場合は意図しないもので、データを生成・収集する企業がバケットの設定を誤ったり、データの保護はクラウドプロバイダーの責任だと思い込んだりしています。
たとえば2024年初頭、Cybernewsは約2億2,300万人のブラジル国民の個人情報を含むアーカイブを発見しました。ブラジルの人口は2億1,400万人であり、国民全体が露出したのではないかと推測する研究者もいました。研究者らはElasticsearchでクエリを実行してこのデータベースを発見したものの、所有者は特定できなかったとしています。
さらにさかのぼる2021年には、B2Bの営業・マーケティング企業が、最大1億2,600万人の米国民の個人を特定できる情報（PII）を漏えいさせました。研究者がAmazonのクラウドコンピューティングプラットフォームAWS上で、保護されていないデータベースを発見したのです。米国のマーケティング企業OneMoreLeadが所有していたこのアーカイブには、メールアドレス、自宅住所、電話番号などが含まれており、なりすましや金融詐欺に悪用されたり、効果的なフィッシングキャンペーンの立案に使われたりする恐れがありました。
これらの侵害のいずれかで自分の情報が露出した可能性があると考える場合は、直ちにパスワードを変更し、受信するメールに注意してください。
