ラトビアのプロバイダーCSCTelecomで報告された情報漏えいにより、多くの人が普段意識しない弱点、すなわち通信事業者層に注目が集まっている。Cybernewsによると、この漏えいにより、Swedbank、SEB、airBalticを含む数十社の企業の顧客に関連する記録が露出した。CSCTelecomの漏えいによるSMSデータ露出が実際に何を意味するのかと読者が尋ねるなら、正直な答えは「詳細はまだ限られている」ということだ。本記事では、確認済みの事実と一般的なガイダンスを分けて説明する。

CSCTelecomの漏えいで報告されている露出内容

CSCTelecomは主にラトビアで事業を展開しているが、Cybernewsは、この漏えいがリトアニアとエストニアの企業や個人にも影響を与えたと報じている。名前が挙げられた企業には、Swedbank、SEB、airBalticのほか数十社が含まれる。報道には記録件数と記録の例が含まれており、Cybernewsの画像で示されている。

情報源が述べていないことも同様に重要だ。入手可能な報道では、メッセージ内容、メッセージログ、またはワンタイムパスワードが露出したかどうかは特定されておらず、本記事もそれらが露出したとは主張していない。Cybernewsは、コメントを得るためにCSCTelecomに連絡しており、同社が回答次第記事を更新すると述べている。それまでは、正確なデータの種類、影響を受けた人数、原因については未確認として扱うべきだ。

より広い論点は依然として変わらない。企業が顧客とのコミュニケーションを処理するために通信事業者を雇うと、その事業者は顧客を保護する連鎖の一部となる。プロバイダーでの問題は、各企業が独自に強固なセキュリティを運用していても、多くの企業の顧客に一度に影響を及ぼす可能性がある。

SMSワンタイムパスワードが弱い防御策である理由

多くの銀行、航空会社、オンラインサービスは、依然としてログインコードや支払いコードをテキストメッセージで送信している。これはパスワードのみよりはましだが、よく知られた限界があり、このようなインシデントはそのことを思い出させる。

  • コードは第三者を経由する。 テキストメッセージは、あなたの電話に届く前にアグリゲーターや通信事業者を経由する可能性がある。それぞれが問題が発生しうる別の場所となる。
  • SIMスワッピング。 攻撃者が通信事業者を説得してあなたの番号を新しいSIMに移させることができれば、あなたのコードを受け取ることができる。
  • フィッシング。 偽のログインページがコードを要求し、リアルタイムで転送することがある。
  • 可視性の欠如。 プロバイダーが企業のために扱うメッセージをどのように保存・保護しているかを、あなたは見ることも制御することもできない。

これは、SMSコードが唯一の選択肢である場合にそれを無視すべきだという意味ではない。SMSコードはフォールバックであり、使える最も強力な鍵ではないという意味だ。アプリベースの認証器やハードウェアセキュリティキーは、テキストメッセージが通信ネットワークを通過することに依存しないため、そのリンクを連鎖から取り除くことができる。

影響を受けたかどうかを確認する方法

この漏えいはバルト三国の複数の大手企業の顧客に及ぶと報じられているため、これらの企業の顧客は自分が関係しているのではないかと気にするかもしれない。いくつかの実践的な手順が役立つ。

  1. 公式の通知に注意する。 漏えいで名前が挙げられた企業は通常、影響を受けた顧客に直接連絡する。これらの通知の1つを名乗るメッセージが本物かどうかに注意すること。詐欺師は漏えいのニュースを悪用することがよくある。
  2. 情報源の更新を確認する。 Cybernewsは、CSCTelecomが回答した時点で記事を更新すると述べているため、詳細が変わる可能性がある。
  3. アカウントのアクティビティを確認する。 最近のログイン、支払い、予約の変更に、身に覚えのないものがないか確認する。
  4. 予期しないテキストや電話に注意する。 見覚えのない不審なメッセージや、要求していない本人確認プロンプトの急増は、警告のサインとなりうる。

この漏えいに関する一方的なメッセージ内のリンクをクリックしないこと。企業の公式アプリまたはウェブサイトに自分でアクセスすること。

通信事業者レベルの漏えいへの露出を減らす

あなたの銀行や航空会社の背後にあるプロバイダーがデータをどのように扱うかを制御することはできないが、問題が発生した場合の被害を限定することはできる。

  • 重要なアカウントをSMSコードから移行する。 銀行、メール、およびお金に関連するアカウントを、サービスが許可する場合は認証アプリまたはセキュリティキーに切り替える。
  • 電話番号を保護する。 携帯通信事業者にSIMロックまたはポートアウトPINについて尋ねる。
  • 固有のパスワードを使用する。 パスワードマネージャーは、1つの漏えいした認証情報が他のものを解錠するのを防ぐ。
  • 番号をむやみに共有しない。 番号を保持するサービスが少ないほど、漏えいする場所も少なくなる。
  • なりすましに警戒する。 漏えいした連絡先情報は、詐欺メッセージを本物らしく見せるためによく使用される。

VPNはこの種の問題を解決しない。VPNは信頼できないネットワーク上での接続を保護するが、通信事業者や企業のベンダーがあなたについて保存する内容を制御するものではない。そのため、ここではアカウントレベルの保護がより重要となる。

あなたにとって何を意味するか

SwedbankやSEBで銀行取引をしている場合、またはairBalticで飛行している場合でも、入手可能な報道の中で、あなたの特定のデータが露出したという確認済みの証拠はなく、慌てる必要もない。賢明な対応は、最も重要なアカウントを強化し、公式の通信に注意を払い、予期しないメッセージには懐疑的になることだ。ベンダーでのセキュリティ障害はあなたの制御の範囲外だが、1つの障害があなたにどれだけの損害を与えうるかは、ある程度あなた次第だ。

同じ習慣はあらゆる大規模な露出に当てはまる。データ漏えいの波の後に何をすべきかに関する私たちのガイドでは、この状況にも当てはまる実践的な漏えい後のチェックリストを説明している。恐喝を目的としたインシデントも、未確認のStripe ShinyHunters恐喝の主張で見られたように、主張が事実を先走る可能性があることを思い出させる。したがって、結論を出す前に確認を待つべきだ。

主なポイントと次のステップ

CSCTelecomの漏えいによるSMSデータ露出の疑問は、同社が回答し、より多くの詳細が公開されれば明らかになるだろう。それまでの間、自分が制御できることに取り組もう。

  • 最も重要なアカウントをSMSコードから認証アプリまたはセキュリティキーに移行する。
  • 通信事業者にSIM保護について尋ねる。
  • 銀行および旅行アカウントの最近のアクティビティを確認する。
  • 一方的な漏えいメッセージ内のリンクを無視し、代わりに公式アプリを使用する。
  • 漏えい後のガイドのチェックリストに従い、次のインシデントに備える。

今の小さな変化により、次に通信事業者レベルの漏えいがどこで発生しても、あなたのアカウントに届く可能性ははるかに低くなる。