学校向けソフトウェアプロバイダーのFrontline Educationで発生したデータ侵害により、米国全土で130万人を超える人々の機微な個人情報が流出した可能性がある。
同社のシステムに関わる8月のセキュリティインシデントにより、生徒と学校職員の記録が危険にさらされた。学区や州当局が最近公表した情報から侵害の規模が明らかになり、影響を受けた人々には、流出した可能性のある情報について通知が届いている。
このインシデントは、学校にとって深刻化する懸念を浮き彫りにしている。学区のネットワークが直接侵害されていなくても、機微な生徒・職員記録は外部のソフトウェアプロバイダーを通じて脆弱な状態に置かれ続ける可能性がある。
サードパーティ製ソフトウェアの脆弱性により、学校の機微な記録へのアクセスが可能に
8月14日、Frontlineはサードパーティ製ソフトウェアの脆弱性を通じた環境の一部への不正アクセスを発見した。Frontlineの10月26日付の開示によると、この活動は8月15日まで続いた。
関係するシステムには、従業員管理を担うFrontline Centralや、学校の看護業務を支援するSchool Health Managementが含まれていた。侵害された情報は個人によって異なるが、社会保障番号、生年月日、政府発行の識別番号などが含まれていた。影響を受けた記録には、Medicaid IDや生徒識別番号も含まれていた。
Frontlineは脆弱性を修正し、独立系サイバーセキュリティ企業の支援を受けて調査を完了したと述べた。その後、追加の監視とセキュリティ対策も導入された。同社幹部は、脆弱なソフトウェアや関与した攻撃者を公表していないが、情報が悪用されたことを示す既知の事例はないと報告している。
侵害通知から明らかになった、リスクにさらされたさまざまな集団
Frontlineのサービスを利用する学区は、プロバイダーが保管する記録について独自の通知を出している。2つの学区は、それぞれ異なる対象者がリスクにさらされたと報告したが、いずれも自らのネットワークへの侵入は確認していない。
- Killeen Independent School District（テキサス州）は、現職・元職員およびその他の関係者およそ4万5000人の情報が、Frontlineを通じて侵害された可能性があると報告した。記録には、自宅住所やメールアドレスなどの個人情報が含まれていた可能性がある。生徒の情報は含まれていなかった。
- Greenwood School District 50（サウスカロライナ州）は、現職・元生徒およそ1万6678人について、プロバイダーを通じてデータにアクセスされた可能性があると明らかにした。関係する情報には、Medicaidの識別番号や連絡先が含まれていた可能性がある。
州への届け出からは、より広範な影響が示されている。サウスカロライナ州の データ侵害通知登録簿には、影響を受けた住民49万3535人が記載されており、Greenwoodが特定した対象者を大きく上回っている。
Frontlineによると対象となる成人には2年間の信用情報監視と個人情報盗難対策が提供され、条件を満たす未成年者はダークウェブ監視を受けられる。通知には、受け取った人ごとに関係する情報が記載されている。
ベンダー保有記録の管理には、ローカルネットワークのセキュリティを超えた監督が必要
Frontlineを通じて情報が侵害された生徒や職員からの懸念に対応する責任は、学区自身のネットワークが侵害されていない場合でも、学区にある。誰が影響を受け、どの情報が関係したのかを明らかにするには、プロバイダーが提供する調査結果と記録に頼る必要がある。
個人情報は、生徒が卒業したり職員が退職したりした後も、外部システムに長く残る可能性がある。学校コミュニティーの元メンバーはアクティブなデータベースには表示されなくなっても、詳細情報がベンダーに残っていることがある。既存の データ損失防止の取り組みでは、こうした記録を十分に把握できない可能性があり、保持期間や削除の取り決めが サードパーティーリスク管理における重要な検討事項となる。
影響を受けた学区にとって、侵害された記録を個人単位で把握することは、誰に通知し、どのような支援が必要かを判断するうえで不可欠だ。セキュリティチームは、外部プロバイダーからこうした情報を速やかに取得できるよう、自らの インシデント対応計画が整備されているかも検討すべきである。
従業員管理や医療関連サービスを外部委託している組織にも、同様の依存関係が存在する。自社のインフラが侵害されていなくても、インシデントの評価に必要な情報をサプライヤーが管理している場合、企業は効果的な対応に苦慮する可能性がある。
サイバーセキュリティ関連の最新ニュース：Araraのメールインフラを攻撃者が悪用し、クレジットカード会社になりすました不審なメッセージを最大713万件送信した。