Last Updated on 2024-06-19 05:29 by 門倉 朋宏
Blackbaud、サウスカロライナ州に本拠を置くソフトウェア企業は、2020年5月に発生したランサムウェア攻撃により、カリフォルニア州司法長官事務所から675万ドルの支払いを命じられた。この攻撃は、同社の不十分なセキュリティ対策とデータの暗号化不足が原因であると指摘された。攻撃者により、未暗号化の社会保障番号、銀行口座の詳細、ログイン認証情報が侵害された後、Blackbaudはそのデータセキュリティの努力の十分性や侵害の範囲について誤解を招く声明を発表し、これらの行為は合理的なデータセキュリティ法、不公正競争法、およびデータセキュリティに関連する虚偽広告法に違反するとされた。侵害されたのは、13,000の非営利団体、大学、病院などの機関の個人情報で、Blackbaudは24ビットコイン（約25万ドル）の身代金を支払った。
この罰金は、より広範な罰則の一部であり、Blackbaudは当初、2023年3月に300万ドルの罰金を科され、その後、49州およびワシントンDCと4950万ドルの和解に同意した。しかし、今年の初め、連邦取引委員会は、Blackbaudに対し、情報セキュリティプログラムの開発と、サービスに不要なデータの削除を命じた。FTCは、同社が脅威アクターに要求された身代金を支払ったにもかかわらず、データが削除されたことを確認する追加の措置を講じなかったこと、また、多要素認証の実装、ネットワークの監視、機密データの暗号化などのセキュリティ対策を強化しなかったことを理由に挙げた。司法長官ボンタは、「Blackbaudは消費者の個人情報を保護することに失敗しただけでなく、データ侵害の全影響を公に誤解させた」と述べ、「これは到底受け入れられない。今日の和解により、Blackbaudが消費者の個人情報の保護を優先し、将来的なインシデントを防ぐためのセキュリティ対策を強化することを保証する」と述べた。
【ニュース解説】
2020年5月に、サウスカロライナ州に本拠を置くソフトウェア企業Blackbaudがランサムウェア攻撃を受け、この攻撃により未暗号化の社会保障番号、銀行口座の詳細、ログイン認証情報などの機密データが侵害されました。この事件は、同社のセキュリティ対策の不備とデータの暗号化不足が原因であると指摘されています。その結果、カリフォルニア州司法長官事務所はBlackbaudに対して675万ドルの罰金を科しました。
この事件は、データセキュリティの重要性と、企業が個人情報を保護するために講じるべき措置の必要性を浮き彫りにしています。特に、多要素認証の実装、ネットワークの監視、機密データの暗号化などのセキュリティ対策は、現代のサイバーセキュリティ環境において不可欠です。
この事件の影響は広範囲に及びます。侵害されたデータは、13,000の非営利団体、大学、病院などの機関からのものであり、これらの組織だけでなく、それらの組織と関わりを持つ個人にも影響を及ぼす可能性があります。また、Blackbaudが身代金を支払ったことは、ランサムウェア攻撃を奨励する懸念を引き起こします。身代金を支払うことは、短期的には解決策のように見えるかもしれませんが、長期的にはより多くの攻撃を引き寄せる可能性があります。
この事件は、企業がセキュリティ対策を強化し、データ侵害が発生した場合には透明性を持って対応することの重要性を示しています。また、消費者の個人情報を保護するための規制が強化される可能性があり、企業はこれらの規制に適応するためにセキュリティとプライバシー対策を見直す必要があるでしょう。
将来的には、このような事件を防ぐために、企業はセキュリティ対策を常に最新の状態に保ち、従業員に対するセキュリティ教育を強化することが求められます。また、データ侵害が発生した場合には迅速かつ透明に対応し、関係者に対して適切な情報を提供することが重要です。この事件は、セキュリティとプライバシーの保護が現代の企業にとって不可欠な要素であることを改めて強調しています。
