pr0nからプレイリスト、そしてペーパークリップまで――3件の侵害で数百万人分のデータが流出

性質のまったく異なる3社が、数百万人のユーザーに影響するデータ侵害を確認した。いずれも、被害はパスワードや決済情報には及ばなかったと主張している。

Pornhubは、Premium加入者に対し、同社のシステムが侵害されたのではなく、かつて利用していたサードパーティの分析プロバイダーMixpanelでの侵害により、一部のユーザーデータが露出したと伝えた。

ユーザー向けの告知で、このアダルトサイトは、影響を受けたのは「一部のPremiumユーザーのみ」で、Mixpanel環境内の分析イベントの限られた集合に関するものだったと述べた。Pornhubは、パスワード、認証情報、決済情報、政府発行IDは露出していないと強調し、2021年にMixpanelの利用を停止していたものの、ベンダーから侵害について通知を受けたと付け加えた。

この公表は、先週OpenAIに影響した同様の事案に続くもので、OpenAIは内部データの漏えいを、侵害されたMixpanelの分析用認証情報に起因すると突き止めている。

SoundCloudも侵害を受けたことを確認した。同社は、障害やアクセス不良に関するユーザーからの苦情が1週間続いた後、これらがサイバーセキュリティ上のインシデントに関連していたと現在述べている。このストリーミングプラットフォームは、付随サービスのダッシュボードで不正な活動を検知し、第三者のセキュリティ専門家を招いて調査を実施、最終的に露出がユーザーのおよそ20％に影響したと判断したという。

公開データによれば、SoundCloudのユーザー数は約1億4,000万人であり、侵害の影響を受けた可能性があるのは約2,800万人に上ることになる。

SoundCloudによると、アクセスされたデータはメールアドレスと公開プロフィール上ですでに表示されている情報に限られ、パスワードや金融情報は含まれていなかった。しかし、侵害封じ込めのために講じた措置には副作用があった。対応中に導入された設定変更により、一部のユーザーで「一時的な接続問題」が発生し、とりわけVPN経由でサービスにアクセスしていたユーザーに影響した。結果として、舞台裏のセキュリティインシデントが、非常に公然たるサービス障害へと変わってしまった。

日本では、小売大手のアスクルが、システムを停止させ顧客データを露出させた10月のランサムウェア攻撃の被害の後始末をいまも続けている。事務用品・EC大手は、新たな報告書 [PDF]で、このインシデントが「大規模なサービス停止」を引き起こし、ネットワークが侵害された後に同社が保有していた情報が「社外に流出」したことを確認したと述べた。

The Registerが翻訳した報告書の中で、アスクルの代表取締役社長兼CEOである吉岡彰氏は、「今回のランサムウェア攻撃により、お客様情報ならびに一部お取引先様の情報が漏えいする事態となり、多大なるご迷惑とご心配をおかけしましたことを深くお詫び申し上げます」と確認している。

アスクルは現在、個人顧客および法人顧客に紐づく約74万件の記録が影響を受け、その一部の影響データがRansomHouseというサイバー犯罪集団によって公開されたとしつつ、攻撃中に金融情報へアクセスされた事実はないとしている。

長文の報告書では、脅威アクターが「例外的に多要素認証を適用していなかった」下請け業者のログイン情報を用いてアスクルの内部システムにアクセスしたことが確認されている。また、侵害が発生したデータセンターについて、「サーバーにEDRが導入されておらず、24時間監視も実施していなかったため、不正アクセスや侵入を直ちに検知できなかった」と同社は認めている。

物流および社内システムでランサムウェア感染が確認され、一部のデータ（バックアップを含む）が暗号化され使用不能となった。さらに、そのデータの一部は攻撃者によって窃取され、漏えいさせられた。

業界も攻撃者も根本原因もそれぞれ異なる――しかし結末は同じだ。分析ツール、付随システム、そしてランサムウェアに汚染されたネットワークを通じてユーザーデータが流出する一方で、企業は最も機微な情報は守られたと顧客を安心させようと急いでいる。®