Discover Performance

 

 


今すぐ登録する

「HP Software Discover Performance」日本語版

顧客情報、ソースコード流出事件についての解説

今回は10月-11月のセキュリティ関連で話題になったものとして、A社からの顧客情報及び製品のソースコードの流出を取り上げます。

経緯

10/3にA社のCSOから、ブログ上で「“ごく最近”にネットワークが洗練された攻撃を受け、顧客情報と多数の製品のソースコードへの不正アクセスがあった」との発表がありました。これによると、

  • 290万人分のユーザID、暗号化されたパスワード、氏名、暗号化されたクレジット/デビットカード番号、有効期限、購入履歴などへのアクセス
  • 「A Acrobat」「ColdFusion」「ColdFusion Builder」と非公式なサードパーティー製関連製品のソースへのアクセス

があったと言うことです。

これに対して、A社では10/3時点で以下の対処を行っています。

  • A社の IDアカウントへの不正アクセスの防止のために、関連する顧客のパスワードをリセット。
  • ユーザIDやパスワードが関与していた顧客には、パスワードの変更方法を記載したメールを送付。
  • この漏洩に関わると思われるクレジットまたはデビットカードの情報を持つ顧客宛に、個人情報の誤使用を防ぐ手段を記載したお知らせを郵送。
  • この漏洩に関わると思われる顧客に対して、クレジットモニタリングサービスを1年間無料で提供(米国のみ)。
  • クレジットカード会社やカード発行元銀行と連携。
  • 連邦捜査当局に連絡し、その調査に協力。

その後の調査の結果、10/29に、不正アクセスがあったアカウントが、過去最大クラスの約3800万人に及んだことが判明しました。また、現在使用されていないユーザのIDや、テスト用アカウントの情報なども流出していたことも判明しました。これらのアカウントに対してはパスワードのリセットが行われています。

また、Facebookでは、今回流出したA社のアカウント情報(メールアカウント情報)と同じパスワードを設定しているアカウントに対して、一時停止を行っています。

原因

今回の不正アクセスの経緯、及び原因に関しては、11月時点ではまだ発表されていません。

考察

今回の不正アクセスに関しては、影響するアカウントも多数に上りましたが、インシデント・レスポンスとして適切な対処を行っていることが印象的です。特に不正アクセスが発覚した初動で素早い対応を行ったことが、風評被害を少なくしていると思われます。

5月に発覚した「エクスコムグローバル」の漏洩(本記事でも紹介しました)の際には、初動で時間がかかってしまったために、最終的に風評被害が酷くなってしまいました。結果として、エクスコムグローバルでは、8月に予定していた株式の上場を延期することになってしまいました。

これに対し、今回のA社の件では、素早い対応と適切な対処のため、株価にもほとんど影響を与えませんでした。10/3の発表後は、株価もやや落ち込み、10/9に$50を割り込んでしまいましたが短期間で回復し、その後も順調な伸びになっています。

このように、不正アクセスや情報漏洩を完全に防ぐのは難しいですが、仮に問題が発生してしまったとしても、インシデント・レスポンスを的確に行うことにより、被害を最小限に留めることができます。

また、今回漏洩したパスワードに関しては、米Stricture Consulting Group(SCG)が分析し、使用者数の多かった上位100のパスワードを割り出して公表しています。

これによると、”123456”など簡単なパスワードを使用しているユーザがまだまだ多いようです。これに関しては、更にパスワードに関しての教育を一般のユーザに徹底して行く必要があります。また、パスワードに変わる、一般ユーザがあまり意識しないで運用できるような識別情報と、Web上のアカウントが連携していくことが望まれます。