広く利用されている保育テクノロジープラットフォームで、データベースの設定ミスにより家族の機密データがインターネット上に公開された。
このインシデントにより、米国各地の数千の託児所や幼児教育センターで、保護者と子どもがリスクにさらされた。
「ここでの本当のリスクは、単一のデータセットではありません。小さく、『無害な』記録が、他の情報漏えいと組み合わさると、いかに急速に危険なものになるかという点です」と、Seemplicityのエクスポージャー管理ストラテジスト、Rob Babb氏は語った。
同氏はさらに、「保護者の連絡先や自宅住所、子どもとの確認済みの関係が結び付けられると、そのデータはスパムをはるかに超えた形で悪用される可能性があります。個人情報詐欺から、より深刻な身の安全への懸念にまで及びます」と説明した。
Rob氏は、「このようなインシデントがとりわけ憂慮すべきなのは、不確実性があるからです。データがどれほどの期間公開されていたのか、誰がアクセスしたのかが分からないことが多く、被害が限定的だったのか、すでに発生しているのかを、家族が知ることさえできない可能性があります」と付け加えた。
保育データ漏えいの規模
Cybernewsの研究者は、14万件を超える記録を含む、インターネットからアクセス可能なElasticsearchデータベースを発見した。
このデータは、入園手続きや保護者との連絡、入園候補の家族の管理に使われる、幼稚園や託児所向けの顧客関係管理（CRM）プラットフォームLineLeaderにひも付いていた。
このプラットフォームはテキサス州に拠点を置くCRM Web Solutions LLCが運営しており、同社のウェブサイトによると、世界で9,000以上の保育施設を支援し、月間ユーザー数は約20万人に上る。
公開された記録には、氏名、メールアドレス、電話番号などの個人を特定できる情報（PII）が含まれていた。さらに重大なのは、保護者とその子どもを直接結び付けるデータも含まれていたことだ。
Cybernewsによると、記録は「見込み客」「問い合わせ」「子ども」に分類されており、テスト環境ではなく、実際に稼働中の本番システムにデータベースが属していたことを強く示している。
子どものデータ流出が高めるリスク
単独の連絡先情報を流出させる消費者データ漏えいとは異なり、このデータセットは家族全体を結び付けていた。
保護者と子ども、さらに関係する保育事業者を直接結び付けることで、流出したデータは標的型のフィッシングや、なりすまし詐欺、個人情報窃取につながる可能性を高める。
攻撃者は、学校や管理者、サービス提供者になりすまして、説得力のある詐欺を仕掛けられる。幼児教育機関に保護者が寄せる信頼を考えると、特に危険なシナリオだ。
差し迫った詐欺のリスクに加え、子どものデータに関わる漏えいは、長期的なプライバシー問題をもたらす。
未成年者は通常、自分で金融口座や信用情報、個人情報監視サービスを管理していないため、自らの身元を守るための対策を取れない。
その結果、個人情報の保護を全面的に保護者や後見人、組織に頼ることになり、早期のデータ流出は発見が難しく、何年も気付かれない可能性が高くなる。
保育事業者にとって、このインシデントは保護者の信頼を損なうリスクとなり、各州のプライバシー法および子どものデータ保護に関する要件に基づく規制当局の調査を招く可能性もある。
データベースの設定ミスが流出を招く
今回の漏えいの根本原因は、設定ミスによる障害だった。Elasticsearchのインスタンスが、パスワード保護なしでインターネットからアクセス可能な状態に置かれていた。
Elasticsearchデータベースは速度と拡張性を目的に導入されるが、認証やネットワーク制限が適用されていなければ、誰でも発見してアクセスできる。
今回のケースでは、基本的なアクセス制御がなかったため、家族の機密データがインターネット上に公開された。
Cybernewsは、責任ある情報開示の手続きに従い、CRM Web Solutions LLCおよび関係するコンピューター緊急対応チーム（CERT）に連絡したと報じている。
データベースはその後、保護された。しかし、記事掲載時点で同社はこのインシデントについてコメントしておらず、影響を受けた保育事業者や家族に通知したかどうかも確認していない。
データ流出のリスクを減らす方法
設定ミスや第三者のプラットフォームは、回避可能な設定上の不備を通じて、機密データを引き続き流出させている。
- 本番データベースは認証を必須にして保護するとともに、ネットワーク制限を適用し、安全でないデフォルト設定を無効にする。
- クラウド環境とデータ環境を継続的に監査することで、自動化ツールを使って設定ミスや意図しない公開状態を検出する。
- 機密データの収集と保持を制限するとともに、子どもや家族のデータを扱うシステムに暗号化と、より厳格な制御を適用する。
- 最小権限アクセスを徹底するとともに、本番、ステージング、テスト環境を強力に分離する。
- 第三者リスク管理を強化するため、定期的な評価、ペネトレーションテスト、明確な情報漏えい通知要件を設ける。
- 下流での悪用や公開状況の変化を監視するため、不審なアクセス、フィッシング活動、または無許可の設定変更を検知した際にアラートを発する。
設定の衛生管理、アクセス制御、第三者リスクに対処することで、セキュリティチームは意図しないデータ流出の影響を軽減できる。
子どものデータで第三者リスクが重要な理由
今回のインシデントは、高度なエクスプロイトではなく、基本的なセキュリティ衛生管理の不備によって引き起こされる侵害が繰り返されていることを示している。
こうした不備が子どものデータに関わる場合、法的リスクを生み、信頼を損ない、倫理的な懸念を高めるなど、影響は増幅される。
保育事業者や学校が、入園手続きや連絡のために第三者プラットフォームへの依存を強めるにつれ、そうしたベンダーのセキュリティ対策は、サービスを利用する家族の安全とプライバシーから切り離せないものになる。
外部プラットフォームへの依存が高まる中、第三者リスクを管理することは、組織が直接管理できない場所にある機密データを保護するうえで不可欠になる。