匿名のハッカーが、インド国営銀行（SBI）の機密性の高い顧客記録を少量ながら流出させました。影響を受けた数千人にとって、深刻な事態につながるおそれがあります。
SBIは最近、ソーシャルメディアでサイバーセキュリティに関する発信を活発に行っています。8月には、「キャプテンY」という新しいCGIマスコットを発表しました。プロモーション動画の中で、SBIのキャプテンYは「あなたのサイバー・プロテクター」であり、「superpowerは意識の高さ」だと語っています。しかし、SBIによるサイバーセキュリティ意識向上の訴えとして最も印象的だったのは、水曜日に顧客データの流出を公表したことでした。
同行のコンプライアンス責任者兼会社秘書役は、インド国立証券取引所（NSE）への通知で、顧客記録3,897件がオンライン上に流出したことを認めました。ただし、この記録が3,897人の個別の顧客に該当するのかどうかは明らかにしていません。国営銀行である同行は、顧客向けの告知で、今回の事案が影響を及ぼしたのは「ごくごく少数の顧客」のみだと強調しました。
SBIの顧客は5億人を超えるため、数千件の記録は確かに「ごくごく少数」と言えます。しかしサイバー専門家は、インドには個人を特定できる情報（PII）を売買する高度な闇市場が存在するため、被害を受けた人々には重大な影響が及ぶ可能性があると指摘しています。
SBIが顧客のPIIを流出
先週、「Siriusim」という名前の新規アカウントが、主要なデータ漏えい情報サイトであるBreachForumsに投稿を公開しました。投稿者は、SBIの新規ユーザーデータを入手したと主張しています。その内容は、個人のユーザー情報、新規口座やローンの申込書類などです。データには375,000行のテーブルと、2,722件のPDFファイルが含まれていました。重要なのは、いずれの数字も、影響を受けた個人の総数を示すとは限らない点です。
Siriusimは投稿の中で、手書きの個人情報が記載された文書をいくつか公開しました。ムンバイのFree Press Journal紙は、流出サンプルのPIIが有効であり、実在するインド国民のものであることを確認しました。たとえばある人物は、携帯電話番号と本人確認（KYC）書類を流出で失いました。その番号に紐づくWhatsAppの写真は、KYCファイルに含まれていたパスポート写真と一致したといいます。
SBIは、流出したデータに氏名、性別、携帯電話番号、メールアドレス、自宅住所、生年月日、銀行のプロファイルID、ローンに関連するメタデータ、「その他のファイル」が含まれていたと認めています。ムンバイからの続報によると、この「その他」には、インドの金融口座を一意に識別する番号であるセントラルKYC（KYC）番号や、ビデオKYCの認証データが含まれていたようです。さらに、新規口座の開設やローンの申請時に提出が必要となる種類のファイルも含まれていました。たとえば、公開された文書の一つには、個人の就業・収入に関する申告書があり、現在の勤務先、職務経験、給与の詳細が記載されていました。
流出の引き金が何だったのか、また、なぜ影響が同行の顧客のわずか0.0008%にとどまったのかは、いまだ不明です。SBIは正式な声明で、「当行の中核業務は中断することなく通常どおり稼働している」と強調しました。これらを総合すると、基幹の銀行システムではなく、周辺のデジタルサービスやデータ処理システムが侵害された可能性がうかがえます。
実際、SBIが過去に起こした大規模な顧客データ流出も、まさにこのパターンでした。2019年には、ムンバイのデータセンターにあるサーバー1台がパスワード保護なしの状態になっており、顧客の口座データが漏えいしました。このサーバーは、基本的な口座情報をテキストメッセージや電話で顧客に通知する「SBI Quick」システムを支えていたものです。たった1台のマシンが数百万人の顧客を危険にさらしたことを考えると、今回の流出がいかに小規模かがわかります。
銀行の情報漏えいがもたらす、見えにくく根深いサイバーリスク
独立系セキュリティ研究者のSushant Bhardwaj氏は、次のように説明します。「データが本物であれば、主なリスクは口座の直接的な盗難ではなく、もっともらしいフィッシングやビッシング、なりすましによる本人確認詐欺やローン詐欺です。攻撃者は個人の詳細情報を把握していれば、銀行になりすますことが容易にできるからです」
メールアドレス、電話番号、生年月日は、悪意のある者の手に渡れば明らかなリスクとなります。それほど一般的ではない種類のPIIも、ありふれたなりすまし攻撃に説得力を加える可能性があります。たとえばBhardwaj氏は、「KYCの詳細情報は変更が難しいため、他人名義での与信申請や、口座の本人確認用質問への回答といったなりすまし詐欺に悪用されかねません」と指摘します。ローンのメタデータについても、「実際のローン内容を口にできる電話の相手は、銀行や債権回収業者を装い、借り手に圧力をかけて『手数料』を支払わせたり、ワンタイムパスワード（OTP）を教えさせたりできます」と述べています。
Cyderesの「Howler Cell」でシニアバイスプレジデントを務めるBrian Hussey氏は、さらに踏み込んで語ります。先月、同氏のチームは、インドのデータブローカーが、Telegramボットとビジネス向けアプリケーション・プログラミング・インターフェース（API）プラットフォームを通じて、1件の照会につきわずか5ルピー（約6セント）で個人記録を販売していると報告しました。こうした簡単な照会を使えば、インド国民を狙うサイバー犯罪者は、一般市民の膨大なPIIを瞬時に入手できます。Hussey氏によると、SBIのようなデータ漏えいは、この闇経済に供給源を与える可能性があります。同氏は次のように説明します。「漏えいデータは、公開された日から古くなります。一方、リアルタイムの照会サービスは、権威あるデータ源にその場で問い合わせるため、常に最新です。インドの闇データ市場にはその両方があり、互いに補完し合っています」
たとえば、ある人物がSBIに多額のローンを申請していたとします。これは、その人物が狙う価値の高い標的である可能性を示します。そして、本人と申請に関する情報の一部が先週流出したとしましょう。Hussey氏は「インドでは、携帯電話番号［などのデータ］を、契約者の身元、職歴、登録車両の一覧に変換するサービスが確認されています」と話します。攻撃者はわずかなPIIを大量の情報に膨らませられるだけではありません。この種の盗まれたデータをめぐる巨大で流動的な経済のせいで、被害者が救済を得ることはほぼ不可能になっています。Hussey氏は、こうした照会は数秒で済むかもしれず、「侵入の痕跡も、提供元のログに異常も残らず、責任を問える購入者もいません。事象として記録されない出来事は、調査できません」と指摘します。
同氏は警告します。「インドは世界でも有数の相互接続されたID体制を築き、それに照会をかけること自体が一つの産業になっています。この接続性こそが、ある場所での漏えいを、別の場所で非常に大きな影響力を持ち、役立つものにしているのです」
翻訳元: https://www.darkreading.com/cyberattacks-data-breaches/state-bank-india-customer-pii-data-leak
