旭化成セラピューティクスのデータ侵害は、ベンダーが運営する1つのウェブサイトが専門家名簿全体を露出させ得ることを示す明確な例です。Japan Cyber Watchの報道によると、攻撃者は、旭化成セラピューティクスに代わってベンダーが日本の医師向けに運営していたサイト「Pharma DIGITAL」に侵入しました。流出したデータには、51万4千人の氏名、勤務先、専門分野が含まれています。

これまでに判明している詳細は限られており、本記事は報道された内容にとどめています。それでも、関与したデータの規模と種類は、この事例を理解する価値があると判断するに十分です。特に、専門家向けポータルや製薬関連ポータルにアカウントを持つ人にとっては重要です。

Pharma DIGITAL侵害で何が流出したか

報道元によると、影響を受けた記録は日本の医療従事者51万4千人分に及びます。流出した情報には次の3つのカテゴリーが含まれます。

  • 氏名
  • 勤務先
  • 医療専門分野

報道では、今回のインシデントに関連してパスワード、財務情報、患者記録については言及されておらず、それらが関与したと述べる根拠はありません。この区別は重要です。これは医療記録の漏えいではありません。誰がどこで働き、何をしているかの漏えいです。

支払いデータの侵害と比べると些細に思えるかもしれません。しかし実際には、勤務先と専門分野を伴う検証済みの専門家リストは、偽の口実でそうした人々に連絡しようと計画する者にとって有用な資産です。

ベンダー運営のポータルがいかに弱点となったか

Pharma DIGITALは旭化成セラピューティクスが直接運営していたものではありませんでした。同社の医師オーディエンスにサービスを提供するベンダー運営のサイトでした。これはよくある体制です。製薬企業は医療従事者向けの情報ポータル、登録システム、コミュニケーションツールのホスティングを外部プロバイダーに依存することがよくあります。

そのトレードオフは、データが同社が日常的に完全には管理していないシステムに置かれることです。セキュリティはベンダーのパッチ適用、アクセス制御、監視にかかっており、訪問者や登録者はそれらがどれだけ適切に処理されているかを簡単に確認する方法がありません。攻撃者がそのようなサイトに侵入すると、表玄関のブランドはある組織のものですが、失敗は別の組織に帰属します。

アカウントを持つ人にとっての実践的な教訓は、信頼している企業名は全体像の一部にすぎないということです。あなたが提供したデータは、サプライヤーの連鎖によって保持されている可能性があります。日本の組織に対するサイバー犯罪の圧力が広がっていることも念頭に置く価値があり、日本で逮捕されたQilinランサムウェア容疑者に関する当社の報道は有用な文脈を提供しますが、その事例は別件であり、今回の侵害と関連しているとは報道されていません。

流出した専門家情報が標的型フィッシングを可能にする理由

一般的なフィッシングは量と運に依存します。標的型フィッシングは信頼性に依存します。医師を名前で呼びかけ、勤務する病院やクリニックに言及し、専門分野に触れるメッセージは、アカウントがロックされたという大量メールよりもはるかに正規に見えます。

ここで報道された流出データがあれば、攻撃者は次のようなメッセージを作成できます。

  • 特定の専門分野に関連する新製品についての製薬会社からの偽の通知
  • ログインリンク付きの医学セミナーやウェビナーへの偽の招待
  • 病院の管理者やIT部門を装ったメッセージ
  • 受信者がすでに使用しているポータルでアカウント情報を確認するよう求める偽の依頼

これらはそうしたデータが悪用され得る方法の例であり、発生した攻撃の報告ではありません。医療従事者はまた多忙で、業界からの通信を受け取ることに慣れており、もっともらしいメッセージをつい二度見せずに行動に移しやすくなっています。

これがあなたにとって意味すること

あなたが日本で医療従事者であり、Pharma DIGITALを利用したことがあるなら、旭化成セラピューティクスまたはベンダーからの公式通知に注意し、その指示に従ってください。あなたの氏名、勤務先、専門分野が出回っている可能性があると想定してください。

医療分野で働いていない場合でも、教訓は当てはまります。第三者が運営する名簿、ニュースレターポータル、登録サイトは、それ自体で価値のあるあなたのプロフィールを保持している可能性があります。侵害があなたに影響を与えるために、パスワードを失う必要はありません。

影響を受けた専門家が露出を限定する方法

すでに流出したデータを取り戻すことはできませんが、それがあなたに対して使用される可能性を減らすことはできます。

  1. 侵害通知を確認する。 企業またはベンダーからのメールや手紙を注意深く読み、メッセージ内のリンクではなく公式チャネルを通じて確認してください。
  2. 勤務先や専門分野に言及するメッセージを疑う。 個人情報はもはや送信者が本物である証拠にはなりません。
  3. 予期しないメッセージのリンクや添付ファイルを使用しない。 既知のウェブサイトに直接アクセスするか、すでに信頼している番号に電話してください。
  4. すべてのポータルで固有のパスワードを使用する。 専門サイトのパスワードを他の場所で再利用している場合は変更し、パスワードマネージャーを使用してください。
  5. 多要素認証を有効にする。 提供されている場所ではどこでも、特にメールと業務アカウントで有効にしてください。
  6. ITまたはセキュリティチームに伝える。 疑わしいメッセージについて同僚に警告できるよう報告してください。

主なポイント

旭化成セラピューティクスのデータ侵害は、企業の露出はベンダーのセキュリティと同じ強さしかないこと、そして氏名、勤務先、専門分野が説得力のある詐欺を支えるのに十分であり得ることを示しています。受け取った通知を確認し、あなたの仕事に言及する予期しないメッセージを慎重に扱い、専門ポータルで保有するアカウントの基本を強化してください。日本の組織を狙ったサイバー犯罪のより広い文脈については、日本におけるQilinランサムウェア逮捕に関する当社の報告をお読みください。