1億9100万件の有権者記録が示す、設定ミスのデータベースがなぜ最大の漏洩源なのか

データ流出を引き起こす静かなる真犯人

データ侵害と聞いて人々が思い浮かべるのは、たいていフードをかぶったハッカーがファイアウォールを突破したり、企業ネットワークにランサムウェアを仕掛けたりする姿だ。しかし、TechRadarが取り上げた最近のセキュリティ調査によれば、個人データ流出の最大の原因は、そうした巧妙な犯罪者ではない。それは、まさにそのデータを守るべき組織自身が、インターネット上に認証もかけずに放置した設定ミスのデータベースなのだ。

この問題の規模は目新しいものではないが、いまだに衝撃的だ。2015年末、セキュリティ研究者のクリス・ヴィッケリーは、1億9100万件の有権者の個人情報を含む300GBものデータベースを発見した。パスワードも認証も一切なく、誰でもアクセスできる状態で公開されていたのである。不正アクセスはなかった。マルウェアも使われていない。誰かが適切なアクセス制御をせずにデータベースを立ち上げ、それが、探し方を知っている者なら誰でも見つけられる状態で放置されていたのだ。

この10年前の出来事は、セキュリティ研究者たちが「決して消え去ったことはない」と語るパターンを如実に示している。つまり、設定ミスを起こしたデータベースが、流出したレコードの総量という点で、従来型のハッキング事件をしばしば上回り、依然としてデータセキュリティ最大の脅威であり続けているのだ。

設定ミスがハッキングよりも脅威である理由

単純な設定ミスが、故意のサイバー攻撃よりも多くのデータを流出させるというのは直感に反するかもしれない。しかし、現代のデータ基盤の仕組みを理解すれば、その理屈は腑に落ちる。企業や政府機関は、膨大な情報を管理するためにクラウドデータベースやストレージバケットへの依存を強めている。新しいデータベースを立ち上げるのに数分しかかからない。一方で、適切な認証、ネットワーク制限、暗号化を施して正しく設定するには、より多くの時間と専門知識が必要であり、この工程が省略されたり、ずさんなまま放置されたりすることが頻繁にあるのだ。

特定の標的への侵入に通常は努力や技術的スキル、計画を要する標的型ハッキングとは異なり、設定ミスのデータベースは、多くの場合、ただそこに置かれ、検索エンジンやスキャンツールにインデックスされ、偶然見つけられるのを待っている。セキュリティ研究者やジャーナリスト、そしてもちろん悪意のある行為者たちは、これらの開かれたデータベースを日常的に探し回っている。なぜなら、防御を突破する必要が一切ないからだ。ドアは大きく開け放たれていたのだ。

これは、従来型の情報漏洩やランサムウェア攻撃が深刻な脅威ではないと言う意味ではない。アジアのIT企業を襲ったSpiralsのランサムウェア攻撃のような事例は、意図を持った脅威アクターが、標的型侵入を通じて組織を恐喝し続けていることを示している。また、ハッカー「888」によるアクセンチュアのソースコード窃取疑惑のような主張は、機密性の高い企業データの故意による窃取が、依然として現実の懸念であることを証明している。しかし、流出した生のデータ量という観点では、不十分に保護されたデータベースによる静かで偶発的な露出が、単一のハッキングキャンペーンが達成しうる規模を矮小化してしまうことがよくあるのだ。

VPNと暗号化だけでは完全な解決策にならない

自身のオンライン活動を守るためにVPNを利用している読者は、ある厳しい真実を理解しておく必要がある。VPNが保護するのはあなたのインターネット接続までであり、あなたが情報を提供した後に、企業がその情報を保管するために使うデータベースではないということだ。あなたがメールアドレスや電話番号、支払い情報を託した企業が、そのバックエンドシステムを設定ミスしていた場合、あなたがどれだけ個人レベルで暗号化を施していても、そのデータが流出するのを防ぐことはできない。

これこそが、トライベッカ映画祭の著名な参加者に影響した事件や、再浮上したSunoの侵害事件で5500万件のメールアドレスとStripeのデータが流出した事例のように、保存された個人データに関わる侵害がこれほど重大である理由だ。これらの事件が示しているのは、ひとたびあなたのデータがデバイスを離れ、企業のデータベースに保存された瞬間から、あなたのプライバシーは、あなた自身のツールではなく、もっぱらその組織のセキュリティ慣行に依存するようになるということである。

これはあなたにとって何を意味するのか

消費者として、自分が利用するすべてのサービスのデータベース設定を個人的に監査することはできない。しかし、より情報に基づいた選択をすることは可能だ。セキュリティ慣行について透明性が高く、迅速な侵害開示の実績があり、転送中のデータだけでなく、保管中のデータにも暗号化を使用している企業を選ぼう。サービスがそもそも収集する個人データを最小限にしているかどうかを確認してほしい。企業が保管する機密情報が少なければ少ないほど、もしデータベースが設定ミスで露出したとしても、被害は小さく済む。

また、設定ミスのデータベースは、小規模なスタートアップから全国規模の有権者データベースに至るまで、あらゆる規模の組織に影響を及ぼすということを覚えておく価値がある。これはセキュリティ予算が乏しい企業に限った問題ではなく、クラウドインフラが展開される速度と、それが注意深く保護される速度とのギャップに結びついた、構造的な問題なのである。

実践可能なポイント

• 可能な限り、固有のパスワードを使用し、多要素認証を有効にすることで、単一のデータベース流出で複数のアカウントが侵害されるのを防ぎましょう。
• 侵害通知を監視し、自分のデータがいつ流出したかを把握するために、侵害追跡サービスの利用を検討しましょう。
• 明確なデータ保持ポリシーやセキュリティポリシーを公開し、収集する個人情報を最小限に抑えているサービスを選びましょう。
• VPNが保護するのは通信経路であって、あなたの情報を保管するデータベースではないことを忘れないでください。データ保護には多層的なアプローチが必要です。

設定ミスのデータベースは、今後も当面、大規模なデータ流出の主な原因であり続けるだろう。単純に、クラウド導入のペースが、慎重な設定のスピードを上回り続けているからだ。自分のデータがどのように、どこに保存されているのかについて情報を入手し、利用するサービスに説明責任を求め続けることが、個人のリスクを減らす最も現実的な方法の一つであり続けている。