過去に流出した認証情報は、安全性が確保されていないデータベースに集約されると、新たなセキュリティリスクになり得る。
ある 10月12日付のExpressVPN報告書で、サイバーセキュリティ研究者のJeremiah Fowler氏は、インドを拠点とするAIソフトウェア開発企業Vibetechに関連するデータベースで、1,370万件の記録が一般公開されていたと明らかにした。
その中には、AT&T、Amazon、Walmart、PayPalなどの名前が付けられたデータセットが含まれていた。ただし、こうしたラベルが付いているからといって、名指しされた企業で新たな情報漏洩が起きたことを示すわけではない。
この事案は、盗まれたデータをめぐる根強い問題を浮き彫りにしている。ある情報漏洩で侵害された情報は、元のインシデントから長い時間が経過しても脅威であり続ける可能性があり、特に別のセキュリティが不十分なデータベースに収集された場合はなおさらだ。報道後にデータベースの安全が確保されたとされるものの、それ以前に権限のない第三者が記録にアクセスしたり、ダウンロードしたりしたかどうかは不明なままだ。
インシデントの詳細
Fowler氏は、データベースのIPアドレスを、Vibetechが運営または開発したと同氏が説明するデータインテリジェンス・プラットフォームに結び付けた。記録の件数だけでは、影響を受けた個人が何人いたのかは分からない。
Fowler氏によると、限られたサンプルでは、データは複数の国の人々に属していた。大規模なデータ収集によって、世界各地に散在する人々の情報が、1つの高リスクな場所で露呈する可能性が浮き彫りになった。
確認されたデータには、氏名、電話番号、メールアドレス、パスワード、銀行口座情報などが含まれていた。
Fowler氏は、AT&T Data Leak、Gambling Private Combo、casio.ru Data Breach、Amazon Private Comboと名付けられたコレクションを挙げており、それぞれ約791万件、224万件、171万件、121万件の記録が含まれていた。
その他のラベルには、Walmart、スペインのWhatsAppユーザー、PayPal、FBI職員名簿、Interpolが記載されていた。ラベルだけでは、記録の出所を確認することはできない。
Fowler氏は、一部のデータセットが既知の公的な情報漏洩件数と一致しないことを指摘し、正確な出所は不明だとした。
Fowler氏は露出を確認した後、IPアドレスに関連する企業とホスティングプロバイダーに通知した。その後、データベースへのアクセスは制限された。翌日には、そのIPアドレスに情報セキュリティマネジメントシステム（ISMS）のコンプライアンス・プラットフォームのダッシュボードが表示されていた。
Vibetechとプラットフォーム、データベースの正確な関係は不明なままだった。
Fowler氏は、このプラットフォームが社内プロジェクトだったか、第三者の顧客向けに開発されたソフトウェアだった可能性を示唆した。データベースがどのくらいの期間公開状態にあったのか、また他の誰かがアクセスしたのかは分かっていない。
別の形のデータリスク
セキュリティチームにとって、この事案は2つの責任を浮き彫りにしている。露出した認証情報に対応することと、自組織が収集する漏洩データを保護することだ。
露出した認証情報が業務用アカウントにひも付いている場合、チームはそのアカウントがまだ有効かどうかを調べ、影響を受けたパスワードをリセットし、不審なアクセスがないかサインイン履歴を確認すべきだ。古いパスワードはもう使えないかもしれないが、付随する氏名、メールアドレス、電話番号は、攻撃者が説得力のあるフィッシングメッセージを作成するのに利用できる。
漏洩情報のリポジトリを管理する組織は、認証を必須とし、アクセスを許可された担当者に限定し、大量のクエリやダウンロードを監視すべきだ。生の認証情報は、明確に定めた防御目的に必要な場合に限って保持すべきである。
リポジトリが一般公開された場合、対応者は 利用可能なログを保存し、露出期間を調査するとともにアクセスを制限すべきだ。データベースを閉鎖すれば継続的な露出には対処できるが、すでにコピーが取得されたかどうかまでは分からない。
こうした記録を一カ所に集めると、別々の情報源にある認証情報を、元の漏洩を一つずつ探さなくても検索、整理、取得しやすくなり、新たな露出点が生まれる可能性がある。Have I Been Pwnedは、より制限の厳しいアプローチの一例だ。同サービスのメール検索では関連するパスワードは表示されず、ドメイン検索には管理権限の確認が必要になる。漏洩監視は、生の認証情報を一般公開することなく有用な情報を提供できる。
データベースの安全が確保されても、リスクがなくなるわけではない。アクセスが制限される前に内容へアクセスしてダウンロードした人物がいれば、所有者の直接的な管理の及ばない場所にコピーを保持している可能性がある。そうした事実があったかどうかは報告書からは分からないが、その可能性は、一般公開をやめるだけでは露出した情報が回収または消去されたと保証できない理由を示している。
あなたにとっての意味
パスワードを露出させた情報漏洩が何年も前に起きたからといって、そのパスワードが安全になるわけではない。他のサービスでも同じパスワードを使っているなら、犯罪者はそれを試す可能性があり、メール、銀行、ソーシャルメディアのアカウントに対して使えば、それらのサービス自体に直接侵入しなくてもアクセスされるおそれがある。
すべてのアカウントで固有のパスワードを使い、 多要素認証を有効にすることで、そのリスクを抑えられる。
認証情報が露出した疑いがある場合は、影響を受けたパスワードと、使い回しているパスワードを変更する。まずはメールと金融関連のアカウントから始めよう。自分のメールアドレスを Have I Been Pwnedで検索すれば、同サービスがインデックス化した情報漏洩への掲載状況を確認できる。該当しないという結果が出ても、情報が一度も露出していないことの証明にはならず、今回の特定のデータベースに含まれているかどうかを必ずしも確認できるわけではない。
しかし、責任はユーザーだけにあるわけではない。過去に流出した情報を収集、分析、保存する企業も、それを保護しなければならない。元のサービスの安全を確保しても、同じデータが別の場所で再び露出すれば意味がないからだ。
詳しくは、 認証の弱さと第三者アクセスのリスクを浮き彫りにするデンマークの登録簿情報漏洩を参照。機密性の高いデータベースに厳格なアクセス制御と監視が必要な理由を改めて示している。