NFM Lending、データ窃取疑惑をめぐり法的措置に直面

メリーランド州に拠点を置く住宅ローン会社が、InterlockランサムウェアグループがNFM Lendingから2.5テラバイトのデータを窃取したと主張したことを受け、集団訴訟の申立てに直面している。訴状によると、この侵害疑惑により、社会保障番号やその他の個人・金融記録を含む、借り手に属する機密情報が流出したとされている。

この事例は、拡大しつつある傾向を浮き彫りにしている。ランサムウェア事案はもはや、関係企業にとって単なるITの問題ではない。それは、企業のシステムにデータを保存していた顧客に直接及ぶ、法的・財務的な責任へとますます発展しており、裁判所は、そのデータが悪意ある者の手に渡った際に誰が責任を負うのかを判断するよう求められている。

訴訟で主張されている内容

この集団訴訟の申立ては、NFM Lendingが住宅ローンの過程で借り手から収集した個人情報を適切に保護しなかったと非難している。NFMのような住宅ローン会社は通常、消費者が提供し得る中でも最も機密性の高いデータを扱う。これには社会保障番号、収入の詳細、税務記録、本人確認書類が含まれ、いずれも住宅ローンを処理するために必要とされる。

Interlockが2.5テラバイトのデータを窃取したという主張は、その規模ゆえに重要である。この情報量は、もし正確であれば、多年にわたる借り手の記録、従業員ファイル、社内文書を表している可能性がある。訴訟の中心的な論点は単純明快である。すなわち、企業が合理的なサイバーセキュリティ対策を実施していれば、データ窃取は起こらなかったか、あるいはその範囲がはるかに限定的であったはずだ、というものである。

こうした種類の事案でよくあるように、訴訟は単に金銭的損害賠償を求めているわけではない。通常は、企業に対し、今後のセキュリティ慣行を改善すること、および影響を受けた個人に対し、身元詐欺や不正行為から身を守るのに十分な詳細を伴って通知することを約束させることも求めている。

Interlockの著名な主張のパターン

Interlockは、金融部門を超えて幅広い組織を標的にすることで評判を築いてきた。同グループは以前、アーカンソー州フォートスミス市に対するランサムウェア攻撃について犯行を主張しており、これは市のコンピュータシステムを混乱させ、同グループの関与が明らかになる前は当局者によって漠然と「セキュリティ事案」とだけ説明されていた。その調査は後に終結へと向かい、フォートスミスのランサムウェア調査が終結に近づいた経緯の報道で詳述されている。

NFM Lendingの事案は、見慣れた手口を踏襲している。すなわち、ランサムウェアグループが大量のデータを主張し、被害組織に圧力をかけるためにその主張を公表し、最終的に影響を受けた個人とその弁護士が対応することで、その余波が民事裁判へと至るのである。InterlockのNFM Lendingに関する主張の全容が独自に検証されるか否かにかかわらず、同社の法的リスクはすでにメリーランド州の集団訴訟を通じて展開しつつある。

あなたにとっての意味

これまでに住宅ローンを申し込んだことがある場合、またはNFM Lendingと取引したことがある場合、この事案は、住宅ローン会社がいかに多くの機密データを収集し保持しているかを思い起こさせるものである。社会保障番号、収入確認書類、銀行情報は、まさに犯罪者が身元詐欺、不正なローン申請、税務詐欺に利用する類の情報である。

現時点では、訴訟で主張されている内容を超えて、誰が影響を受けたか、あるいはどの具体的なデータ区分が関与したかについて、確認された公開リストは存在しない。とはいえ、NFM Lendingと取引したことがある人は誰でも、公式の通知書に注意を払うべきである。個人情報を含むデータ侵害が確認された場合、州法により通常こうした通知が義務付けられている。

たとえ通知を受け取っていなくても、 proactive な姿勢を取る価値はある。ランサムウェアグループは、企業が身代金を支払うか否かにかかわらず、窃取したデータをしばしば販売または漏洩する。つまり、最初の事案がニュースの見出しになってからずっと後まで、露出は続く可能性がある。

実行可能な要点

この事案または同様の住宅ローン業界の侵害に自分の情報が関与した可能性があると思う場合にできることは以下のとおりである。

  • 信用報告書を注意深く監視し、まだ行っていない場合は、主要な信用調査機関に不正警告または信用凍結の申立てを検討する。
  • 住宅ローン、ローン申請、またはNFM Lendingを直接参照するフィッシングの試みに注意する。窃取されたデータは、詐欺メールや電話をより説得力があるように見せるためにしばしば利用されるからである。
  • 住宅ローンに関連する金融口座、または貸し手との銀行取引関係がある場合は、多要素認証を有効にする。
  • 侵害に関するNFM Lendingからの連絡を記録として保管する。この文書は、集団訴訟に参加する場合や、後で身元詐欺の報告を行う場合に重要となる可能性がある。

NFM Lendingに対する訴訟が進むにつれ、侵害疑惑の範囲と、同社がどのように対応する予定かについて、より多くの詳細が明らかになる可能性が高い。それまでの間、自身の個人的な金融データが流出した可能性があるものとして扱い、それに応じて行動することが、下流の損害を限定する最も信頼できる方法である。