Frontline Education、データ侵害で130万人超に影響

学校向けソフトウェア提供企業のFrontline Educationで発生したデータ侵害により、米国全土で130万人以上の機微な個人情報が流出した可能性があります。

8月に同社のシステムで起きたセキュリティインシデントにより、生徒や学校職員の記録が危険にさらされました。学区や州当局が最近公表した情報から被害の規模が明らかになり、影響を受けた人々には、情報が流出した可能性があるとの通知が届いています。

今回のインシデントは、学校が抱える懸念の高まりを浮き彫りにしています。学区のネットワークが直接侵害されていなくても、外部のソフトウェアベンダーを通じて、生徒や職員の機微な記録が脆弱な状態に置かれる恐れがあるためです。

サードパーティ製ソフトウェアの欠陥で、学校の機微な記録にアクセス可能に

Frontlineは8月14日、サードパーティ製ソフトウェアの脆弱性を悪用され、自社環境の一部に不正アクセスがあったことを確認しました。10月26日の公表によると、この不正な活動は8月15日まで続いていました。

影響を受けたシステムには、人事・労務管理を担うFrontline Centralと、学校の看護業務を支援するSchool Health Managementが含まれます。流出した情報は個人によって異なりますが、社会保障番号（SSN）、生年月日、政府発行の身分証明書番号などが含まれていました。Medicaid（米国の公的医療保険）のIDや生徒の識別番号も、影響を受けた記録に含まれています。

Frontlineは、脆弱性を修正し、独立したサイバーセキュリティ企業の支援を受けて調査を完了したと説明しています。その後、追加の監視体制とセキュリティ対策も導入しました。同社は、脆弱性のあったソフトウェアや攻撃者を公表していませんが、情報が悪用された形跡は確認されていないとしています。

通知から見えてきた、リスクにさらされた多様な層

Frontlineのサービスを利用する学区は、同社が管理していた記録について、それぞれ独自に通知を出しています。2つの学区が異なる層への影響を報告しましたが、いずれも自らのネットワークへの侵入は確認していません。

• キリーン独立学区（テキサス州）：Frontlineを通じて、現職・元職員やその関係者の約45,000人分の情報が侵害された可能性があると報告しました。自宅住所やメールアドレスなどの個人情報が含まれていた可能性があります。生徒の情報は含まれていません。
• グリーンウッド第50学区（サウスカロライナ州）：同社を通じてデータにアクセスされた可能性がある現・元生徒は約16,678人と特定しました。Medicaidの識別番号や連絡先などが含まれている可能性があります。

州への届出からは、影響がさらに広範囲に及ぶことがわかります。サウスカロライナ州の 情報漏えい通知登録簿には、影響を受けた住民として493,535人が記載されており、グリーンウッド学区が特定した人数を大きく上回ります。

Frontlineは、対象となる成人に2年間のクレジットモニタリングと個人情報盗難防止サービスを提供し、対象となる未成年者にはダークウェブ監視を提供するとしています。通知書には、受取人ごとに関係する情報が記載されています。

ベンダーが保有する記録には、自組織のネットワーク対策を超えた監督が必要

自らのネットワークが侵害されていなくても、Frontlineを通じて情報が侵害された生徒や職員からの問い合わせに対応する責任は、学区にあります。誰が影響を受け、どの情報が関係したのかを把握できるかどうかは、ベンダーが提供する調査結果や記録に左右されます。

個人情報は、生徒の卒業後や職員の退職後も、外部システムに長く残り続ける可能性があります。学校コミュニティの元メンバーは、稼働中のデータベースには載っていなくても、その情報がベンダーに残っていることがあります。既存の データ損失防止（DLP）の取り組みでは、こうした記録を十分に把握できない可能性があり、 サードパーティリスク管理では、保管期間や削除の取り決めが重要な検討事項となります。

被害を受けた学区にとって、侵害された記録を個人単位で把握することは、誰に通知し、どのような支援が必要かを判断するうえで不可欠です。セキュリティチームは、 インシデント対応計画によって、外部プロバイダーからそうした情報を迅速に入手できるかどうかも検討すべきです。

従業員管理や医療関連サービスを外部委託している組織にも、同様の依存関係があります。自社のインフラが侵害されていなくても、インシデントの評価に必要な情報を取引先が握っている場合、企業は効果的に対応するのに苦労する恐れがあります。

その他のサイバーセキュリティニュース：攻撃者がAraraのメールインフラを悪用し、クレジットカード会社を装った不審なメールを最大713万件送信しました。