Last Updated on 2024-08-16 06:22 by 門倉 朋宏
【ダイジェスト】
セキュリティ研究者たちが、インターネット上で発見された膨大な数の露出したレコードを「史上最大の漏洩」と呼んでいます。しかし、このデータセットは単一のデータ漏洩から来たものではなく、複数の漏洩が集約されたもののようです。こうしたデータの集積は、データエンリッチメント企業によってしばしば作成されます。データエンリッチメントとは、第一者データを内部ソースから組み合わせ、他の内部システムや外部ソースからの第三者データと結合するプロセスです。エンリッチされたデータは、より有用で洞察に富むため、どの組織にとっても貴重な資産となります。
研究者たちは、「チームが26億以上のレコードを特定したが、重複する可能性も高い」と述べています。しかし、漏洩したデータには単なる認証情報以上のものが含まれており、露出したデータの大部分は機密性が高く、悪意のある行為者にとって価値があります。
一方で、個人データの漏洩に関する別のニュースでは、”emo”と名乗るサイバー犯罪者が、プロジェクト管理ツールTrelloのアカウント1500万件のユニークなレコードを販売していると主張しています。Trelloは多くの組織に利用されているため、懸念が高まっています。しかし、Trelloを運営するAtlassian社は、データ漏洩があったとは否定しています。どうやら、誰かが大量のメールアドレスを集め、Trelloに対してテストを行ったようです。
ここで疑問が生じます。巨大な個人情報の流出を「漏洩」と呼ぶべきか、「侵害」と呼ぶべきか、どのように区別すべきでしょうか？侵害とは、「データが不適切に露出した事件であり、通常はアクセス制御の不足やソフトウェアのセキュリティ弱点が原因である」と定義されます。したがって、数十億ものレコードが露出したことは、意図的にオープンにされたとは考えにくいため、侵害と言えるかもしれません。そして、Atlassian社は、犯罪者が既存の機能を利用したため、安全に「侵害されていない」と主張できるのです。
一部の人々は、データ侵害はハッキングの結果であり、それ以外はすべて漏洩だと言います。この観点から見ると、どちらのデータセットも侵害から来たものではありません。一方は偶然見つかったものであり、もう一方は正当なAPIを使用して作成されたものです。しかし、影響を受けた人々にとっては、データが侵害によって漏洩したのか、スクレイピングによって蓄積されたのか、データエンリッチメント企業によって収集されたのかにかかわらず、結果はほぼ同じです。あなたの情報は、サイバー犯罪者が自由に利用できる状態でオープンになっています。
オンラインで自分のデータが露出しているかどうかを知りたい場合は、無料のデジタルフットプリントスキャンを試してみることができます。気になるメールアドレスを入力すると、レポートを送信します。驚くかもしれませんが、メールアドレスが侵害で見つかったとしても恥ずかしいことではありませんが、侵害された場合やパスワードが含まれている可能性がある場所を知ることは重要です。提示されたパスワードが見覚えがある場合は、そのパスワードを使用している場所を変更し、2要素認証を有効にし、他のアカウントで再利用されていないかを確認することをお勧めします。
詐欺師は、侵害で見つかった情報をソーシャルエンジニアリング攻撃に非常に巧みに利用します。あなたのデータが侵害で漏洩したという事実さえも、詐欺師はフィッシング攻撃を仕掛け、あなたからさらに多くの情報を引き出そうとします。昨年、2000社以上の企業や政府機関が、4億以上の個人アカウントに影響を与えるデータ侵害を報告しました。新たな侵害でデータが露出した際にアラートを受け取るために、アイデンティティモニタリングを設定しましょう。
サイバーセキュリティリスクは、単なる見出しにとどまるべきではありません。Malwarebytesのアイデンティティ盗難保護を使用して、あなたとあなたの家族の個人情報を保護しましょう。
【ニュース解説】
セキュリティ研究者たちがインターネット上で26億件以上の個人データレコードが露出しているのを発見しました。これは「史上最大の漏洩」と呼ばれていますが、単一のデータ漏洩からではなく、複数の漏洩が集められたものです。データエンリッチメント企業がこのようなデータセットを作成することがあります。データエンリッチメントは、内部ソースからのデータと他の内部システムや外部ソースからのデータを組み合わせることで、より有益で洞察に富んだデータを作り出すプロセスです。
漏洩したデータには、ログイン情報だけでなく、機密性の高い情報も含まれており、悪意のある行為者にとっては価値があるとされています。また、プロジェクト管理ツールTrelloの1500万件のアカウント情報が販売されているという報告もありますが、Trelloを運営するAtlassian社はデータ漏洩を否定しています。どうやら、大量のメールアドレスを使ってTrelloのシステムをテストしたようです。
データ漏洩とは、通常、セキュリティの弱点などによりデータが不適切に露出する事件を指します。今回のケースでは、意図的にデータが公開されたわけではないため、漏洩と見なすことができます。一方で、Atlassian社は、犯罪者が正規の機能を使ったため、侵害されていないと言えます。
データがハッキングによって得られたものでなければ、それは「漏洩」と呼ばれることがあります。今回のデータセットは、偶然見つかったものや、正当なAPIを使用して作成されたもので、侵害によるものではありません。しかし、影響を受けた人々にとっては、データがどのようにして漏洩したかはあまり関係なく、個人情報が危険にさらされていることに変わりはありません。
自分のデータがオンラインで露出しているかどうかを確認するためには、無料のデジタルフットプリントスキャンを利用できます。また、パスワードが漏洩している可能性がある場合は、パスワードの変更、二要素認証の設定、他のアカウントでのパスワードの再利用がないかを確認することが推奨されます。
昨年は2000社以上の企業や政府機関が、4億以上の個人アカウントに影響を与えるデータ侵害を報告しており、個人情報の保護はますます重要になっています。Malwarebytesのアイデンティティ盗難保護などのサービスを利用して、個人情報を守ることが勧められています。
from “The mother of all breaches”: 26 billion records found online.
