オークランドで起きたランサムウェア事件と、Sparkの3年間にわたる開示内容を見ると、見出しに躍る数字だけでは、顧客が自身の被害範囲を把握できないことがわかります。
2024年12月、Compass Communicationsは自社システムへの不正アクセスを検知しました。オークランドを拠点とする同通信事業者は、外部の セキュリティ専門家を招き、ニュージーランドのプライバシーコミッショナーに報告しました。ランサムウェアグループのRA Worldは、250GBのデータを盗んだと主張しています。
攻撃者は26.9MBのサンプルも公開しました。Cyber Dailyは、サンプルにサービス契約書、財務諸表、顧客の銀行口座情報が含まれていたと報じました。Compassは侵入を認め、初期調査では一部の顧客情報にアクセスされた可能性があるとしています。影響が確認された顧客には直接連絡する方針です。ただし、同社の声明には、顧客数も、盗まれたデータ量の裏付けとなる数字も示されていません。
報じられたサンプルに銀行口座情報が含まれていたことは、250GBという主張よりも、顧客が注意を払うべき具体的な理由になります。アーカイブには、1つのアカウントに関する複数の文書や同一ファイルの重複、顧客と無関係な記録が含まれる場合があります。そのため、サイズだけでは、影響を受けた人数も、現在の顧客と過去の顧客のどちらの記録なのかもほとんどわかりません。
Sparkの3年間の侵害報告
Spark New Zealandの年次報告書からは、また違った状況が見えてきます。2024年度（FY24）には、従業員が調査のために228件のデータ侵害を報告しました。このうち、影響を受けた人々とプライバシーコミッショナーへの通知基準を満たしたのは30件、約13%でした。Sparkによると、その大半は、詐欺師がフィッシングや侵害されたオンラインアカウントなど、他の経路で入手した個人情報を悪用したケースでした。
従業員が調査のために報告した侵害は、FY25で156件、FY26で167件でした。この2年分の年次報告書のプライバシーに関する項目には、通知基準を満たした件数が記載されていません。いずれの合計値も会社全体のもので、家庭向けブロードバンドの顧客に絞った数字はありません。社内報告の件数は2年間で増えましたが、深刻な侵害も増えたのかどうかは、開示内容からは判断できません。
Sparkは過去に具体的な事例を公表しています。FY21には、一部のMySpark and Xtra Mailアカウントへの不正アクセスについて、顧客とプライバシーコミッショナーに通知しました。Sparkによると、顧客が他のプラットフォームで同じログイン情報を使い回しており、そのプラットフォームが侵害された際に認証情報が盗まれていました。一方、Compassの事例では、同社自身のシステム内で不正アクセスが検知されました。この2件では、侵入者が何を見られ、何を変更し、何をコピーできたのかという疑問の性質が異なります。
侵害件数と顧客への通知との隔たり
ニュージーランドのプライバシーコミッショナー事務局は、2024/25年度のプライバシー侵害通知が1,093件で、前年度から27%増加したと記録しました。このうち591件が重大と分類され、43%増えています。これらの数字は全業種を対象としたものです。同事務局によると、重大な侵害のうち71%が72時間以内に通知されており、前年度の60%から改善しました。
ニュージーランドのプライバシー法では、侵害が深刻な被害を引き起こした、または引き起こす可能性が高い場合、組織はできるだけ速やかにコミッショナーへ通知しなければなりません。コミッショナーは、通知対象の侵害だと組織が認識してから72時間以内の通知を求めています。例外を除き、組織は影響を受けた本人にも通知する必要があります。企業の年次報告書や公式声明には載らない詳細が、顧客に直接届くこともあります。
「古いブロードバンドの請求書があれば、詐欺師はプロバイダー名や住所、普段の支払額を知ることができます。それだけで、偽の督促状を本物らしく見せるには十分です。プロバイダーが『顧客情報』が流出したと説明するとき、それがメールアドレスなのか、請求書の写しなのかを、利用者は知る必要があります」と、Fibre Broadband NZの創業者であるTomas Novosad氏は述べています。
Compassの事例では、被害を受けた顧客の数がわからないまま、主張されたファイルサイズだけが見出しになりました。Sparkの年次報告書は会社全体の合計値を示していますが、直近2年分では、通知基準を満たした件数についての記載が減っています。顧客がこうした数字を正しく読み解くには、流出したデータの種類、記録が対象とする期間、影響を受けたアカウント数という3つの情報が役立ちます。
（写真：Denny Müller氏、Unsplash）
翻訳元: https://hackread.com/inside-new-zealands-telco-data-breaches/
