コダック、サイバーセキュリティ侵害を調査中

象徴的なイメージング＆テクノロジー企業であるコダックは、不正な第三者が「限られた量の企業データ」に不正にアクセスしたことを確認した。同社は木曜日にこの事件を公表し、侵害を発見したこと、そして現在、アクセスされた範囲と性質について調査中であることを明らかにした。この初期声明を除き、コダックは関与したデータの種類、侵入の手口、あるいは個人情報が侵害されたかどうかについて、詳細な情報を公表していない。

現段階ではコダック自身の調査による詳細は限られているが、この確認そのものが重要である。企業のデータ侵害が単純な、あるいは孤立した出来事であることは稀であり、「限られた量の企業データ」という表現は、フォレンジック（デジタル鑑識）作業が進むにつれて変化していく、初期段階でよく使われる修飾語である。

老舗企業が狙われやすい理由

コダックは、価値の高いサイバー攻撃の標的として真っ先に思い浮かぶ企業ではないかもしれないが、老舗企業は驚くほど多様な価値ある情報を保有している。数十年の歴史を持つ企業は、しばしばレガシーシステム、ベンダーとの関係、知的財産のアーカイブを抱えており、それらは金銭目的の犯罪者から企業スパイ活動を行う競合他社に至るまで、さまざまな脅威アクターにとって魅力的であり得る。

企業独自のビジネスデータ以外にも、コダックのような企業は通常、長年にわたって蓄積された従業員、契約業者、取引先、顧客にわたる記録を保有している。たとえそのデータのごく一部しかアクセスされなかったとしても、個人にとっての二次的な影響は無視できない。氏名、連絡先、財務情報、ビジネス上のやり取りは、いずれも違法なマーケットプレイスでの商品となる。

また、組織的な現実も作用している。コダックが過去10年間に経験したような大規模な再編を経た大企業の多くは、複合的なセキュリティ上の課題に直面する。ITリーダーの交代、システム移行、人員削減はすべて、高度な攻撃者が見つけて悪用するように訓練された隙間を生み出し得る。変革の途上にある企業のセキュリティ態勢は、安定した企業のそれよりも脆弱であることが多い。これは経営陣が怠慢だからではなく、移行期には完全に保護することが難しい複雑さが持ち込まれるからだ。

このパターンはコダックに限ったことではない。教育分野でも同様の動きが見られ、ShinyHuntersがInstructureで2億7500万件の記録に影響する侵害を主張した事例は、脅威アクターが悪用可能な隙間を求めて組織を積極的に探っていることを示している。

あなたにとっての意味

あなたがコダックの現在または元従業員、取引先、顧客であるならば、調査が進行中の間は警戒を怠らないことが妥当である。同社は個人データが露出したとは明らかにしていないが、その判断には通常、時間とフォレンジック分析を要し、確実に確認されるものである。

より広く言えば、今回のインシデントは、どの企業が侵害されようとも当てはまることを思い出させるものである。あなたの個人データは、これまで関わってきた数十の組織に分散しており、それらの各組織がどのようにデータを保護するかについて、あなたがコントロールできることは限られている。何年も考えもしなかった企業での侵害が、あなたの情報を再び表面化させることもあり得る。

だからこそ、企業の慣行とは無関係に、個人レベルの優れたセキュリティ習慣が重要なのである。すべてのアカウントに強力で一意のパスワードを使用し、多要素認証を有効にすることで、たとえ一つの侵害が起きても影響範囲を限定できる。クレジットの監視や漏洩通知サービスに登録することで、あなたのデータが流出データセットに現れた場合に早期警告を得られる。

リモートワークをしている人や、共有または公共のネットワーク経由で企業システムにアクセスする人は、VPNを使用することで、端末とネットワークの間に暗号化の層が追加され、ネットワーク自体が侵害されていても通信が傍受されるリスクを減らすことができる。VPNはサーバー側で企業の侵害が起こることを防ぐものではないが、転送中のデータを保護し、特定の種類のネットワークレベルの攻撃への露出を低減する。

更なる情報を待つ

コダックは調査が進行中であると述べており、規制上の報告義務が生じるかどうかや、影響を受けた当事者に通知が行われるかどうかを含め、今後数日から数週間でさらに詳細が明らかになる可能性が高い。米国や欧州連合などの法域では、企業は個人データに関する特定の基準を満たす侵害を開示する法的義務を負っている。

現時点で、コダックに関係する人々にとって最も建設的なことは、同社からの公式な連絡を監視し、長年にわたりその組織と共有した可能性のある個人情報を棚卸しすることだ。

企業のサイバーセキュリティインシデントはなくなることはなく、個人が利用できる最善の防御策は、自分のデータを代わりに守ってくれるのを企業に期待することではない。情報を入手し続け、強力な認証情報の習慣を実践し、転送中のデータを保護するツールを使用することは、調査の最終的な結論がどうであろうと、誰もが今日から取れる手段なのである。