ラトビアとリトアニアの銀行、保険会社、小売業者、サービスプロバイダーが顧客に送信した1億2500万件以上のテキストメッセージを含むデータベースで、セキュリティ上の脆弱性が修正された。システムを運営するサービスプロバイダーは、問題は修正済みだと述べている。この一件は、SMSプロバイダーのデータ漏洩リスクの明確な例である。機密性の高いメッセージは、顧客が選んだわけでもなく、存在すら知らないかもしれないベンダーの手元に置かれていることが多い。

これまでに入手可能な報道は簡潔なものにとどまっているため、本記事は述べられている事実に限定し、それがなぜ重要かを説明する。

バルト三国のSMSデータベースで何が露出したか

報道によると、影響を受けたデータベースには1億2500万件以上のテキストメッセージが保存されていた。これらはラトビアとリトアニアの銀行、保険会社、小売業者、サービスプロバイダーが送信した企業対顧客（B2C）メッセージであった。情報源はこの問題を、現在は修正された脆弱性としており、見出しでは可能性のあるデータ漏洩として位置づけられている。

この表現は重要である。脆弱性とは弱点が存在したことを意味する。それ自体では、誰かがデータにアクセスしたりコピーしたりしたことを裏付けるものではない。入手した資料には、弱点がいつから存在していたのか、誰が発見した可能性があるのか、あるいは不正な第三者によって実際にメッセージが閲覧されたのかどうかは記載されていない。

それでも、こうしたデータベースが通常保持する内容の種類については考える価値がある。企業は一般に、ワンタイムパスコード、銀行のアラート、配送状況の更新、アカウント通知にSMSを利用している。こうしたメッセージは、その人がどの銀行と取引しているか、何を購入したか、荷物がどこへ向かっているか、どのサービスを利用しているかを明らかにする可能性がある。パスワードが1つもなくても、そのような文脈情報は、説得力のある詐欺を計画する者にとって価値がある。

第三者メッセージングベンダーが隠れたリスクである理由

ほとんどの人は、銀行や小売業者が自社でテキストを送信していると思い込んでいる。実際には、多くの組織がその業務を、企業と携帯電話網の間に位置するメッセージングプロバイダーに委託している。顧客はブランドとやり取りするが、メッセージの内容は別の企業を経由し、その企業によって保存されている可能性がある。

これによりいくつかの問題が生じる：

  • 見えない関係。 顧客はどのベンダーが自分のデータを処理しているかをほとんど目にしないため、そのベンダーのセキュリティを判断できない。
  • 集中したデータ。 1つのプロバイダーが複数国にまたがる多数の顧客にサービスを提供できる。単一の欠陥が銀行、保険会社、商店からのメッセージに同時に影響を及ぼし得る。これが1億2500万件という数字を可能にしている。
  • 保持に関する疑問。 メッセージログはトラブルシューティングや報告のために保持される場合がある。保存期間が長いほど、露出するリスクも大きくなる。

同様のパターンは、これまでに取り上げた他のインシデントにも見られる。Trump Mobile侵害における第三者リスクに関する考察は、ブランドの壁の外に保持されたデータが、いかにしてそのブランド自身の問題になり得るかを示している。Fakturowniaのデータ侵害も、その名称から想像される以上に多くを保持するプラットフォームについて同様の点を指摘している。

ベンダーの修正が確認することと確認しないこと

問題は修正済みだというプロバイダーの声明は朗報だが、それは問いの一部にしか答えていない。

示唆すること： 特定の弱点はもはや開かれていないため、同じ経路は今後利用できないはずである。

情報源に基づき確認できないこと：

  • 修正前に第三者がメッセージにアクセスしたかどうか。
  • 露出したメッセージに、今もなお利用可能なコードや個人情報が含まれていたかどうか。
  • 独立したレビューが修復を検証したかどうか。
  • 影響を受けた企業が顧客に通知するかどうか。

これらの点が公に説明されるまでは、冷静さを欠くことも油断することも賢明な姿勢ではない。修正は必要な一歩であり、完全な安全宣言ではないと受け止めるべきである。このベンダーを利用していた組織こそ、顧客が何をすべきか（すべきことがあるなら）を説明するのに最も適した立場にある。

あなたにとっての意味

ラトビアやリトアニアの企業で銀行取引、保険、買い物をしている場合、あなたのメッセージはこのようなシステムを経由した可能性がある。たとえ他の地域にいても、教訓は当てはまる。あなたにテキストを送るあらゆるサービスは、あなたが監査できないベンダーの連鎖に依存しているのだ。

現実的なリスクは、通常、古いテキスト1件による劇的なアカウント乗っ取りではない。それは標的型フィッシングである。あなたが最近配送通知や銀行のアラートを受け取ったことを知っている詐欺師は、本物の詳細を使って信頼を得ながら、本物に見える偽のメッセージを作成できる。古いワンタイムコードは期限切れになっているはずだが、SMSベースのログイン自体が依然として弱い環である。テキストは傍受されたり、転送されたり、あなたが管理していない場所で露出したりする可能性があるからだ。週間セキュリティまとめでも、フィッシングの手口がいかに進化し続けているかを指摘しており、予期しないメッセージに懐疑的な姿勢を保つことの重要性を思い起こさせる。

SMSベースのフィッシングと2FAリスクから身を守る方法

銀行のメッセージングベンダーを選ぶことはできないが、露出したテキストがあなたに与え得る被害を減らすことはできる。

  1. 可能な限りSMSコードから離れる。 二要素認証には認証アプリまたはハードウェアセキュリティキーを使用する。これらはテキストメッセージングシステムを経由しない。
  2. SMSはフォールバックのみとして保持する。 サービスがテキスト認証を強制する場合は有効にするが、サービスが許す限りより強力な選択肢を追加する。
  3. 実際の活動に言及するメッセージを疑う。 実際の注文や銀行に言及するテキストであっても、それが本物である証明にはならない。リンクをタップせず、公式アプリを開くか、アドレスを自分で入力する。
  4. コードを決して共有しない。 正規の銀行や小売業者がワンタイムコードを読み上げるよう求めることはない。
  5. アカウントを監視する。 明細やログインアラートに見慣れないものがないか確認し、不審な活動は速やかに銀行へ報告する。
  6. プロバイダーに尋ねる。 企業がメッセージデータをどのように扱うかを知りたい場合は、誰が処理し、どのくらいの期間保持するのかを尋ねる。

まとめ

このバルト三国のデータベースの修正は歓迎すべきものだが、データが実際にアクセスされたことがあるかどうかについては未解決の疑問が残る。SMSプロバイダーのデータ漏洩リスクに関するより広い教訓は、それとは無関係に当てはまる。機密性の高い通知は、あなたが選んだわけではないベンダーを経由し、あなたは自分側のことしか制御できない。アプリベースまたはハードウェアの2FAに切り替え、実際の活動に言及するあらゆるメッセージに警戒を怠らず、外部ベンダーがどのように露出を生み出すかについてさらに知りたい場合は、Trump Mobile侵害とFakturowniaインシデントに関する記事をご覧いただきたい。