国土安全保障省（DHS）で報告された漏洩により、4万人以上の従業員の氏名、電話番号、メールアドレスが流出した。このDHSの従業員連絡先情報のデータ侵害は、VOZの報道によれば、過去1か月間に見出しを飾った3件目の政府データ漏洩である。元記事は技術的な詳細に乏しいため、本稿は報道された内容に限定し、この種のデータが一見無害に見えてもなぜ重要であるかを説明する。

DHSの漏洩で何が流出したか

報道に基づくと、流出した情報は4万人以上のDHS従業員に及び、データの種類は氏名、電話番号、メールアドレスの3つに限られている。本稿が入手できた資料では、報道はデータがどのように入手されたか、誰が関与したか、いつ発生したか、あるいは社会保障番号や金融記録などの他の種類が含まれていたかについて説明していない。これらの詳細について推測はしない。

この空白は注目に値する。侵害に関する初期報道は不完全であることが多く、当局の調査が進むにつれて範囲が変わる可能性がある。現在の数字は最終的な件数ではなく、報道された基準値として扱い、DHSからの公式声明に注意を払うべきである。

政府データ漏洩のパターン

DHSのインシデントは単独のものではない。報道はこれを、1か月間に見出しを飾った3件目の政府データ漏洩として位置づけている。vpn.socialで取り上げた他の2件の最近の事例は、有用な文脈を提供する。一つは、FBIが従業員の機密データに関わる侵害に対処していると述べ、責任があると考える人物を追及すると誓った事例である。もう一つは、フランス当局が身分証明書を管理する機関ANTSのハッキング容疑で15歳の少年を逮捕した事例である。

これらの事例は異なる機関と国に関わるものであるため、互いに関連していると仮定すべきではない。共通するのは標的である。職員や市民に関する個人情報で満ちた大規模な公共部門のデータベースだ。政府機関は犯罪者にとって、場合によっては敵対的行為者にとって価値のあるデータを保有しているため、執拗な標的となっている。

なぜ連絡先情報がフィッシングやソーシャルエンジニアリングを助長するのか

氏名、電話番号、メールアドレスの漏洩を軽微なものとして片付けたくなるのは自然だ。パスワードも金融データもないのだから、何の害があるのか。答えは、連絡先データが標的型攻撃の原材料になるということだ。

確認済みの氏名、仕事用のメールアドレス、既知の雇用主に紐づいた電話番号があれば、攻撃者は次のことができる。

  • 説得力のあるフィッシングメールを作成する。相手を名前で呼びかけ、その機関に言及する。
  • 音声フィッシング（ビッシング）電話をかける。ITサポート、同僚、あるいはベンダーを装う。
  • SMSの誘導メッセージを送る。受信者を偽のログインページへ誘導する。
  • 内部関係者を装う。聞き慣れた名前を信頼する同僚から情報を引き出す。

セキュリティに重点を置く機関の従業員にとってのリスクは、攻撃者が誰がそこで働いているかを正確に把握し、どう連絡を取るかを知っていることだ。少数の成功したメッセージでも、攻撃者に足がかりを与えることができる。リスクはこれらの従業員に限らない。家族、請負業者、そしてDHS職員と連絡を取り合う誰もが、信頼できる情報源から来たように見えるメッセージを受け取る可能性がある。

連絡先のみの漏洩は再利用される傾向もある。確認済みのメールアドレスや電話番号のリストは、他のインシデントのデータと組み合わせることができる。LimeLeadsによる4,940万件のビジネス連絡先の流出に関する我々の報道は、連絡先データベースがどのように流通し、元のインシデントから長い時間が経った後でも利用されうるかを示している。

これがあなたにとって何を意味するか

あなたはDHSで働いていないかもしれないが、教訓は誰にでも当てはまる。私たちのほとんどは、氏名、メールアドレス、電話番号を多くのデータベースに置いている。雇用主、小売業者、データブローカー、政府機関などだ。そのうちの一つが侵害されると、同じフィッシングの手口が一般の人々に対して使われる。

あなたがDHSの従業員であるか、DHSの従業員と仕事をしているなら、通常よりも多くの一方的なメッセージを予想し、たとえ自分の名前を使ったり勤務先に言及したりしていても、予期しない要求は疑いの目で扱うべきだ。そうでないなら、これをきっかけに、自分の連絡先情報がどれだけ公開されており、誰が自分に連絡できるかを確認しよう。

自身の個人データ露出を減らす方法

組織が侵害されるかどうかを制御することはできないが、被害を限定することはできる。実践的な手順は次のとおりだ。

  1. サービスごとに固有のメールエイリアスを使う。そうすれば、一箇所の漏洩が他のすべてに結びつかない。
  2. 登録や公開 listings 用に別の電話番号を用意する。主要な携帯番号ではなく。
  3. 多要素認証を有効にする。できればSMSではなく認証アプリやハードウェアキーを使う。
  4. 信頼する前に確認する。電話、テキスト、メールが認証情報や緊急の行動を求めてきたら、すでに本物だとわかっている経路で組織に連絡する。
  5. 予期しないメッセージのリンクをクリックしない。代わりに直接サイトへアクセスする。
  6. 漏洩通知ツールを確認する。自分のどのアドレスが既知の漏洩に現れているかを確認し、それに応じてパスワードを変更する。
  7. データブローカーサイトから削除を要求する。自分の詳細が掲載されている場合。

要点は、露出を完全になくすことではない。それは非現実的だ。漏洩した各詳細を攻撃者にとってあまり有用でないものにすることだ。

まとめ

報告されたDHSの従業員連絡先情報のデータ侵害は、パスワードや金融記録を含む漏洩に比べれば控えめに見えるかもしれないが、連絡先データこそがフィッシングやソーシャルエンジニアリングを機能させるものである。1か月間に3件の政府漏洩が報告された今は、自身の連絡先情報がどこで露出しているかを監査し、習慣を引き締めるのに適した時期だ。このパターンのより広い文脈については、FBI従業員データ侵害とANTSの身分記録ハッキングに関する我々の報道を読み、その後数分かけて自身のアカウントを保護してほしい。