コペンハーゲン大学は、ハッカーが個人情報を含む大学のテスト環境にアクセスし、約52万5,000人に影響が及ぶ情報漏えいが発生したと公表しました。
流出した記録には、氏名、デンマークの国民識別番号、勤務先および私用の電話番号、個人のメールアドレスが含まれています。
大学は10月20日に攻撃を検知し、その後インシデントを封じ込めたとしています。調査担当者は、不正アクセスの範囲やどの情報が影響を受けたかなど、被害の全容を引き続き調べています。
侵害された環境には、複数の種類の個人識別情報と連絡先情報が保存されていました。ただし、今回の公表だけでは、影響を受けた全員について、挙げられたすべての項目が流出したかどうかは確認できません。
侵入の対象はテスト環境でしたが、そこにあったのは完全な架空のテストデータではなく、実在の個人データでした。
この違いは重要です。被害を受けたシステムは日常業務を支えるシステムとは切り離されていましたが、それでも多くの人々の情報が保存されていました。
大学は、攻撃者がどのように侵入したのかという技術的な詳細を明らかにしていません。現時点で公表されている情報からは、悪用された脆弱性、侵害されたアカウント、マルウェアのファミリー、攻撃グループのいずれも特定できません。
不正アクセスがいつ始まったのかも明らかになっていません。10月20日は報告された検知日であり、最初の侵入日とは限りません。
このインシデントでは、約2万人の職員と学生のIDカードに紐づくPINコードも流出しました。
University of Copenhagen data breach exposes information belonging to 525,000 people
Hackers gained access to a university test environment containing full names, Danish national identity numbers, work and private telephone numbers, and personal email addresses.
⠀
PIN… pic.twitter.com/a75hDsycwS
大学は影響を受けたコードを新しいものに交換し、一部の重要な場所への立ち入りを一時的に制限しました。これらの措置は、調査を続ける間、侵害された認証情報に対処するためのものです。
今回の公表では、攻撃者が流出したPINコードを使って大学の施設に入ったとは示されていません。また、どの場所が一時的に制限されたのか、制限がどのくらい続いたのかも明らかにされていません。
影響を受けた約2万人のカード保有者は、インシデントの報告書で別枠として説明されているグループです。この人数を、全体の52万5,000人に加算してはいけません。
大学によると、ハッカーが日常業務を支えるシステムに到達した形跡や、大学の活動に支障が出た形跡はないということです。
この見解は、テスト環境が侵害されたという確認済みの事実と、業務システムへの広範な侵入とを区別するものです。ただし、流出した個人情報の全容をめぐる未解決の疑問が解消されたわけではありません。
大学はこのインシデントをデンマークデータ保護庁などの関係当局に報告しました。
調査担当者が被害を評価している段階で、さらなる調査結果はまだ出ていません。攻撃者がどのように最初のアクセスを得たのか、どのくらいの期間システムにアクセスしていたのか、情報をコピーしたり後に悪用したりしたのかといった重要な点は、まだ明らかになっていません。
現時点で確認されている対応は、インシデントの封じ込め、侵害されたIDカードのPINコードの交換、一時的なアクセス制限、そして規制当局への通知です。
1万6,000以上のSOCチームがANY.RUNを活用し、脅威調査の効率化と手作業の削減を実現しています。チームで試してみる
翻訳元: https://cyberpress.org/university-copenhagen-data-breach/
