保護されていないデータベースで1370万件の流出済みレコードが露出

過去に流出した認証情報も、保護されていないデータベースに集約されれば、あらためて新たなセキュリティリスクとなり得ます。

ExpressVPNが10月12日に公開したレポートによると、サイバーセキュリティ研究者のJeremiah Fowler氏は、インドに拠点を置くAIソフトウェア開発企業Vibetechに関連するデータベースで、1370万件のレコードが公開状態になっているのを発見しました。

このコレクションには、AT&T、Amazon、Walmart、PayPalといった名称が付いたデータセットが含まれていました。ただし、これらのラベルは、名前の挙がった企業で新たな情報漏えいが起きたことを裏付けるものではありません。

この事案は、盗まれたデータにつきまとう根深い問題を浮き彫りにしています。ある侵害で流出した情報は、元のインシデントから時間が経過した後も脅威であり続けます。とりわけ、セキュリティが不十分なデータベースに別途集約された場合は、その傾向が顕著です。このデータベースは、開示後に保護されたと伝えられていますが、それ以前に権限のない第三者がレコードにアクセスしたりダウンロードしたりしたかどうかは、依然として不明です。

インシデントの詳細

Fowler氏は、このデータベースのIPアドレスを、Vibetechが運用または開発していると同氏が説明するデータインテリジェンスプラットフォームに関連付けました。レコード数からは、影響を受けた個人が何人いるのかを特定することはできません。

Fowler氏によると、限られたサンプルでは、データは複数の国の人々のものでした。大規模なデータ収集によって、世界中に散らばる人々が、リスクの高い1か所に集約されて露出しかねないことを示しています。

確認されたデータには、氏名、電話番号、メールアドレス、パスワード、銀行口座情報などが含まれています。 

Fowler氏は、「AT&T Data Leak」「Gambling Private Combo」「casio.ru Data Breach」「Amazon Private Combo」というラベルのコレクションを挙げています。レコード数はそれぞれ約791万件、224万件、171万件、121万件でした。

このほか、Walmart、スペインのWhatsAppユーザー、PayPal、FBI職員名簿、Interpolに言及したラベルもありました。ただし、ラベルだけでは、レコードの出所を確認することはできません。

Fowler氏は、一部のデータセットが既知の公開済み情報漏えいの件数と一致せず、正確な出所は不明のままだと指摘しています。

露出を確認した後、Fowler氏は、そのIPアドレスに関連する企業とホスティングプロバイダーに通知しました。データベースはその後、アクセスが制限されました。翌日には、このIPアドレスで情報セキュリティマネジメントシステム（ISMS）のコンプライアンスプラットフォームのダッシュボードが表示されていました。

Vibetech、このプラットフォーム、そしてデータベースの正確な関係は不明のままです。

Fowler氏は、このプラットフォームが社内プロジェクトだった可能性や、第三者のクライアント向けに開発されたソフトウェアだった可能性を指摘しています。データベースがどのくらいの期間露出していたのか、ほかに誰かがアクセスしたのかどうかも分かっていません。

データリスクの新たな形

セキュリティチームにとって、この事案は2つの責任を浮き彫りにしています。露出した認証情報への対応と、自組織が収集した侵害データの保護です。

露出した認証情報が業務用アカウントに結び付いている場合、チームは、それらのアカウントが現在も有効かどうかを調べ、影響を受けたパスワードをリセットし、不審なアクセスがないかサインインの履歴を確認する必要があります。古いパスワードはすでに使えなくなっているかもしれませんが、あわせて流出した氏名、メールアドレス、電話番号は、攻撃者が巧妙なフィッシングメッセージを作成する材料として悪用できます。

侵害インテリジェンスのリポジトリを運用する組織は、認証を必須とし、アクセスを許可された担当者に限定し、大量のクエリやダウンロードを監視すべきです。生の認証情報は、明確に定められた防御目的のために必要な場合にのみ保持するべきです。

リポジトリが一般公開状態になった場合、対応担当者はアクセスを制限するとともに、 利用可能なログを保全し、露出していた期間を調査する必要があります。データベースを閉じれば継続的な露出には対処できますが、すでにコピーが持ち出されたかどうかは判断できません。

こうしたレコードを一か所にまとめると、新たな露出ポイントが生まれます。さまざまなソースの認証情報を、元の流出先を一つずつ探し出さなくても検索、整理、取得しやすくなる可能性があるためです。Have I Been Pwnedは、より制限的なアプローチの例です。メール検索では関連するパスワードは表示されず、ドメイン検索には管理権限の確認が必要です。侵害の監視は、生の認証情報を公開しなくても有用な情報を提供できます。

データベースが保護されても、リスクは終わりません。アクセスが制限される前に内容にアクセスしてダウンロードした人物は、所有者の管理が及ばないところでコピーを保持し続けられる可能性があります。この事態が実際に起きたかどうかは報告からは確認できませんが、公開状態を解除しても、露出した情報が回収または消去されたと保証できない理由を、この可能性は示しています。

利用者への影響

パスワードを露出させた侵害が何年も前に起きたからといって、そのパスワードが安全になるわけではありません。ほかのサービスで同じパスワードを使い続けていれば、犯罪者に試されるおそれがあります。標的になるのはメール、銀行、ソーシャルメディアのアカウントです。これらのプラットフォームに直接侵入しなくても、アクセスを得られる可能性があります。

すべてのアカウントで固有のパスワードを使い、 多要素認証を有効にすることで、このリスクを減らせます。

認証情報が露出したと疑われる場合は、影響を受けたパスワードと、使い回している同じパスワードをすべて変更してください。メールと金融関連のアカウントから始めるのが望ましいでしょう。 Have I Been Pwnedでメールアドレスを検索すれば、同サービスが索引化した侵害に含まれているかどうかを確認できます。ただし、該当なしの結果が出ても、情報が一度も露出していないという証明にはなりません。また、この検索で、今回のデータベースに含まれているかどうかを確認できるとは限りません。

とはいえ、責任はユーザーだけにあるわけではありません。過去に流出した情報を収集、分析、保管する企業も、それを保護しなければなりません。元のサービスを保護しても、同じデータが別の場所で再び露出するのでは、ほとんど意味がないからです。

関連記事： デンマークの登録簿での情報漏えいは、脆弱な認証とサードパーティによるアクセスのリスクを浮き彫りにしており、機密性の高いデータベースには厳格なアクセス制御と監視が必要であることを改めて示しています。