コペンハーゲン大学へのサイバー攻撃で、約52万5,000人分の個人情報が流出した。これには暗号化されたデンマークの国民識別番号も含まれており、大学は復号される可能性があると警告している。
大学は 10月23日に侵害を確認したと発表し、攻撃者が個人データを含むテスト環境にアクセスしたと説明した。その後、約2万人の学生と職員に割り当てられたアクセスカードのPINも流出したことを明らかにし、大学はコードを交換するとともに、重要施設へのアクセスを一時的に制限した。
影響を受けた学生、職員、元大学関係者にとって、この侵害は個人情報窃取や標的型フィッシングへの懸念を引き起こす。セキュリティーチームにとっては、本番環境ではない環境に機密情報を保存するリスクを浮き彫りにするものだ。
ハッカー、52万5,000人分の個人データにアクセス
大学のIT担当者は10月20日に不審な活動を検知し、その後、攻撃者が個人情報を含むテスト環境にアクセスしていたことを突き止めた。
大学は当初の発表で、侵害されたデータベースには約52万5,000人に関する情報が含まれていたと説明した。
大学の 公式の侵害通知によると、流出した情報は個人によって異なるが、以下が含まれている可能性がある。
- 氏名と連絡先：個人を特定する情報と連絡先情報。
- 大学アカウント情報：大学のユーザー名とメールアドレス。大学が公表した侵害データの一覧に、アカウントのパスワードは記載されていない。
- 国民識別番号：暗号化されたデンマークのCPR番号。
- 個人情報：市民権、国籍、性別。
- 大学との関係：個人と大学との関係に関する情報。
- アクセスカードのPIN：大学施設への物理的なアクセスに使われるコード。
大学は、個人の自宅住所は侵害されたデータセットに含まれていないと明確に説明した。また、健康情報など、同大学に提供された機密性の高い個人情報も、流出した記録には含まれていないという。
特に懸念されるのは、デンマークで個人の識別に使われる暗号化CPR番号だ。識別子自体は暗号化されていたものの、大学は復号に必要な情報も流出したと警告している。そのため、番号が復元される重大なリスクがあると判断している。
大学は、攻撃者が実際にこれらの識別子を復号したとは確認していない。
大学、古い記録も流出していたと確認
大学は10月28日の更新で、侵害された記録の年代に関する以前の説明を訂正した。
当局は当初、影響を受けた人々に対し、流出情報は2002年までさかのぼると伝えていた。
その後の調査で、侵害された記録の一部は2002年より古いことが判明した。
大学は、この訂正によって影響を受けた人数が増えたわけではないと強調した。変わったのは、流出情報について判明している過去の範囲だけだという。
今回の判明により、影響を受けたデータセットは当初の発表よりも大学の過去に深くさかのぼることになる。
大学、2万人分のPINを交換
攻撃の影響は、個人情報の流出にとどまらなかった。
大学は10月25日のセキュリティー更新で、約2万人の職員と学生に割り当てられたアクセスカードのPINコードが侵害されたと明らかにした。
影響を受けた人々には交換用のPINが発行された。大学は予防措置として、10月23日にキャンパス内の一部の重要施設への物理的なアクセスを一時的に制限した。これらの施設は、交換用PINの配布後に再開した。
大学は、侵害されたPINは別の侵害ではなく、10月23日に公表した最初の攻撃の一部だと説明した。
今回の事例は、デジタルシステムが建物へのアクセスを管理する認証情報を保存している場合、侵害された情報が物理的なセキュリティーに影響を及ぼし得ることを示している。
侵害されたアクセスPINが重要な理由
アクセスカードのPINは、建物、研究室、オフィスなど、立ち入りが制限された施設を保護する追加の防御層になり得る。
攻撃者が有効なPINと、それを使うために必要な別の認証情報や物理的アクセス手段を入手した場合、そのコードが不正侵入を助ける可能性がある。ただし、コペンハーゲン大学は、盗まれたPINが不正な物理的アクセスに使われたとは報告していない。
コードを交換すれば、流出のリスクを低減できる。物理的なアクセス制御システムを運用する組織にとって、今回の事例は、侵害された認証情報を速やかに無効化し、不審な侵入の試みを監視する重要性を示している。
大学、システム再開に伴い別の攻撃を否定
この侵害を受け、大学のシステムも予防措置として停止された。
当局は10月26日、別のサイバー攻撃とみられる事象を当初報告し、複数の管理システムへのアクセスを制限した。しかし大学は10月27日の更新で、この不審な活動は元のインシデントに関連するものであり、別の攻撃ではないと説明した。
複数の管理サービスで障害が発生したものの、大学によると、オフラインにされたシステムは侵害されておらず、セキュリティーを確認する間の予防措置として停止されていた。
大学の 運用に関する更新情報によると、IT担当者は外部からのアクセスを段階的に復旧する前に、個別のセキュリティー評価を開始した。大学は、学習プラットフォームのAbsalonやその他の重要システムを復旧の優先対象に指定した。
復旧中も、複数の大学システムへのアクセスは制限された。大学によると、ほとんどの学生はキャンパス内のEduroam経由で影響を受けたサービスにアクセスでき、職員はサービスが復旧するにつれてVPNを利用できた。
Niels Bohr Building、新しいNatural History Museum building、Metropolでは、一部サービスへのEduroamアクセスが利用できなかった。大学はこれらの場所の利用者に有線接続を案内し、職員にはVPNアクセスを提供した。
当局は、復旧中にさらなるサービス障害が発生する可能性があると警告した。こうした区別が重要なのは、予防措置としての停止が、攻撃者が追加のシステムやデータにアクセスしたことを必ずしも意味しないためだ。
盗まれた情報がフィッシングや個人情報窃取のリスクを高める理由
コペンハーゲン大学は、侵害された情報が標的型フィッシング、詐欺的な通信、個人情報窃取の試みに悪用される可能性があると警告した。
攻撃者が同じ人物について複数の情報を入手している場合、この懸念は特に大きくなる。
誰かの氏名、大学との関係、メールアドレスなどの識別情報を知る犯罪者は、信頼できる機関から送られたように見えるメッセージを作成できる可能性がある。例えば、攻撃者が大学のITサポートになりすまし、侵害を受けてアカウントの緊急確認が必要だと主張することも考えられる。
別の手口として、デンマークのMitID情報やその他の機密性の高い認証情報を要求する偽の通信も考えられる。これは盗まれた記録を使って実行された攻撃の確認例ではなく、起こり得る攻撃シナリオだ。
大学の案内は、影響を受けた人々にフィッシングや個人情報窃取のリスクを警告している。ただし、個人情報が流出したからといって、犯罪者がそれを使って保護された金融口座や政府のアカウントにアクセスできるとは限らない。
今回の事例は、パスワードや決済カード番号でなくても、個人を特定する機密情報を保護する必要があることを示している。
eSecurity Planetが IDScanの侵害訴訟を報じた記事でも指摘したように、個人識別情報の流出は、長期にわたるセキュリティーとプライバシーの懸念を生じさせる可能性がある。
流出情報が被害者に及ぼし得る影響
流出情報 | 潜在的なリスク |
|---|---|
| 氏名と連絡先 | 個人に合わせたフィッシングやなりすましの試み |
| 大学のユーザー名とメールアドレス | 偽のITサポートメッセージや認証情報を盗み取る攻撃 |
| CPR番号 | 個人情報に関する詐欺や識別子の悪用 |
| 大学との関係 | 個人の役割や大学との関係に合わせたメッセージ |
| アクセスカードのPIN | その他の必要な認証情報も入手された場合の不正な物理的アクセス |
大学は、攻撃者を公表しておらず、その動機も明らかにしていない。
また、盗まれた情報がその後の攻撃に使われたとは確認していない。
大学、影響を受けた人々に通知 一部には連絡できず
コペンハーゲン大学は、侵害で情報が流出した人々への通知を開始した。
公式通知によると、CPR番号が侵害データに含まれていた影響対象者の大部分には、10月27日にデンマークのDigital Postシステムを通じて通知した。大学はまた、連絡先情報を保有している影響対象者には10月28日にメールを送ると説明した。
しかし大学は、全員に直接連絡することはできなかったと認めた。侵害された記録に氏名しか含まれておらず、個別の通知を届けるのに十分な情報がなかったケースもある。
この制約に対処するため、大学は侵害通知書を一般公開した。つまり、過去に同大学で学んだり働いたりしていた人は、メッセージを受け取っていないというだけで、自分は影響を受けていないと考えるべきではない。
自分の情報について懸念がある人は、大学の公式侵害ページを確認し、その案内に従うべきだ。
影響を受けた学生、職員、元職員が取るべき対応
大学は、影響を受けた人々に対し、不審な通信や機密情報を入手しようとする試みに警戒を続けるよう呼びかけている。
大学は盗まれた記録の悪用を確認したとは報告していないものの、流出した情報によって、今後のなりすましの試みがより巧妙になる可能性がある。
影響を受けた人々は、リスクを低減するためにいくつかの対策を取ることができる。
1. 大学になりすましたフィッシングメッセージに注意する
大学のIT担当者、管理者、その他の信頼できる組織からの連絡だと主張する、予期しないメール、電話、テキストメッセージには注意する。
警戒すべき兆候には、次のような要求がある。
- 大学のパスワードやアカウント認証情報を確認する。
- MitID情報や認証コードを提供する。
- 侵害通知を確認するため、見慣れないリンクを開く。
- アカウントを安全にすると称するソフトウェアをダウンロードする。
- 本人確認のため、追加の個人情報を開示する。
対応：不審なメッセージに記載された連絡先ではなく、大学の公式ウェブサイトや既存のサポート窓口を通じて大学に連絡する。
2. 使い回しているアクセスカードのPINを変更する
大学はすでに、約2万人分の侵害されたキャンパスアクセスカードのPINを交換している。
ただし、同じPINを別のシステムでも使い回していた人は、依然として流出のリスクにさらされる可能性がある。
対応：同じPINを使っている他の場所でも変更する。これには、同じ数字コードを使用できる別のアクセス制御システムやサービスも含まれる。
推測しやすいコードの使用や、他人とのアクセス認証情報の共有は避ける。
3. 大学と個人のアカウントを保護する
大学が公表した侵害情報の説明には、アカウントのパスワードが流出データセットに含まれていたとは記載されていない。
それでも、盗まれたデータを使えば、偽のアカウント確認要求をもっともらしく見せることができる。
対応：
- 大学と個人のアカウントには、それぞれ固有のパスワードを使う。
- 利用できる場合は多要素認証を有効にする。
- 予期しない認証要求を決して承認しない。
- 不審なログイン通知は、該当するITチームに報告する。
- 迷惑メッセージ内のリンクから認証情報を入力しない。
セキュリティーチームは、流出した個人情報だけで本人確認を完了できないよう、アカウント復旧手順も見直すべきだ。
4. CPR番号に関する要求には注意する
大学は、侵害されたCPR番号が復号される可能性があると警告しているため、影響を受けた人々は、国民識別情報に関する要求に特に注意すべきだ。
CPR番号をすでに知っている電話の発信者やメッセージの送信者を、無条件に信頼できると考えてはならない。
対応：機密性の高い要求については、あらかじめ独自に確認した連絡先を通じて確認し、大学や関係するデンマーク当局が提供する本人情報保護に関する案内に従う。
5. 公式の通知と更新情報を確認する
大学は、今回の事案の調査と全容の把握を続けている。
流出した情報の種類は人によって異なる可能性があるため、具体的なリスクも異なる。
対応：公式の通知が届いた場合は注意深く確認して保管し、大学の侵害情報ページを確認して、今後の指示を確認する。
通知を受け取っていないものの、自分が影響を受けている可能性があると考える人は、一般公開されている侵害通知を確認できる。
今回の事案に関する質問は、大学のGDPRbreach@ku.dkに問い合わせることができる。
今回の侵害が大学と企業のセキュリティーチームに意味すること
コペンハーゲン大学の事案は、組織により広い問題を提起している。テスト環境にはどれほどの機密情報が保存されており、それらの環境は本番システムと同じように厳格に保護されているのだろうか。
テストシステムは、本番環境に展開する前に、ソフトウェアの変更、統合、新しいサービスを評価するために使われることが多い。
しかし、こうしたシステムに実在する個人情報が含まれている場合、侵害によって、組織が本番環境で保護すべきものと同じ機密記録が流出する可能性がある。
コペンハーゲンの事案は、その影響がプライバシー上の懸念にとどまらず、物理的なアクセス制御や業務の中断にまで及ぶ可能性を示している。
セキュリティーチームは、いくつかの対策を検討すべきだ。
- テストデータベースを見直す：実在する個人情報、国民識別番号、アクセス認証情報を含む非本番環境を特定する。
- 機密データを最小限にする：可能な限り、テストには合成データや適切に匿名化したデータを使用する。
- 暗号鍵を保護する：暗号化されたデータと、その復号に必要な情報を適切に分離し、アクセス制御を施す。
- アクセスを制限する：テスト環境への権限を、承認された担当者とサービスに限定する。
- 異常な活動を監視する：非本番システムに対して、実効性のあるログ記録、アラート、アクセス監視を適用する。
- 認証情報の交換手順を準備する：侵害されたデジタル認証情報や物理アクセスコードを速やかに無効化する手順を確立する。
- インシデントに関する連絡を見直す：従業員やその他の影響を受けた人々が、タイムリーで具体的な案内を受け取れるようにする。
こうした対策は、大学、医療機関、金融機関など、大量の個人情報を保持する組織にとって特に重要だ。
eSecurity Planetは以前、 Zimbraサーバーの侵害を取り上げ、露出したインフラを特定し、既知の脆弱性に対処する重要性を示した。
また、 Anthropicのテストセキュリティー刷新についての同媒体の報道は、テスト環境における分離とアクセス制御の重要性を浮き彫りにしている。
今後の展開
コペンハーゲン大学は、警察やデンマークデータ保護庁を含むデンマーク当局に侵害を報告し、技術的な調査を続けている。また、予防措置として停止したサービスの復旧も段階的に進めている。大学は攻撃者を公表しておらず、盗まれた情報による影響の全容も明らかにしていない。
影響を受けた人々にとって優先すべきことは、不審な通信に警戒し、アカウントを保護し、侵害された個人情報に関する公式の案内に従うことだ。
セキュリティーチームにとっての教訓は、大学のシステムにとどまらない。実在する個人データを含むテスト環境は、調査担当者が攻撃者による業務システムへのアクセスを示す証拠を見つけていない場合でも、重大なセキュリティーリスクになり得る。
組織は、開発、テスト、本番の各環境を含め、機密情報が保存されている場所を問わず保護すべきだ。
関連情報：別の大規模な大学侵害については、350万人を超える人々の個人情報を流出させたUniversity of Phoenixへのサイバー攻撃を取り上げた記事を参照されたい。これは、個人情報の盗難や高等教育におけるデータセキュリティーへの懸念を招いた。