最大400万人に及ぶペンタゴンのデータ侵害は、その規模以外に2つの理由で注目を集めている。侵入が数か月間検知されなかったと報じられていること、そして流出した記録が暗号化されていなかったことだ。調査当局は報道によると、何がアクセスされたかの全容を依然として把握していない。以下では、これまでに報じられた内容、これらの詳細がなぜ重要か、そして影響を受けた人々が取れる対策を説明する。

ペンタゴン職員の侵害について分かっていること

報道元によると、最大400万人の米軍軍人および国防総省職員の個人記録が、ペンタゴンの人事システムへの侵害で流出した可能性がある。この事案は数か月間検知されないままだった。流出した記録は暗号化されておらず、調査当局は流出の全範囲をまだ特定できていない。

この数字は確認済みの件数ではなく、潜在的な最大値として説明されている。この区別は重要だ。以前の報道では、米国防当局者の声明に基づき、この事案に関連する人数は300万人超とされていた。これは当社の300万人に関連するペンタゴンのデータ侵害に関する報道で取り上げたとおりだ。その後、推定値は最大400万人にまで増えたが、調査が何に触れたかを解明している最中にはよくあることだ。当社の以前の400万人の人事記録が流出した可能性に関する報道では、数か月間気づかれなかった国防総省の人事システムへの侵害について説明している。

報道元の記事には、データ項目の完全なリスト、攻撃者の名前、確認された侵入経路は含まれていないため、これらについて推測はしない。

暗号化されていない記録と数か月の沈黙がなぜ重要か

ここでは2つの別個の失敗が組み合わさったようだ。

暗号化の欠如。 保存時の暗号化とは、盗まれたファイルが鍵なしでは読めなくなることを意味する。記録が暗号化されずに保存されていると、境界を突破した者はそのまま読むことができる。暗号化は侵入を止められないが、深刻な侵害を攻撃者にとってはるかに有用性の低い収穫に変えることができる。

検知の空白。 数か月間隠れたままの侵害は、侵入者に探索し、データをコピーし、再び戻ってくる時間を与える。また、影響を受けた人々がその期間に身を守る機会がなかったことも意味する。盗まれた情報の悪用は、事案が明らかになるずっと前に始まっていた可能性がある。

これらの要因が合わさることで、調査当局が何が持ち出されたかを正確にまだ言えない理由が説明できる。完全なログや timely な警告がなければ、侵入者の活動を再構成するのは難しく、影響を受ける対象者は調査の継続に伴って修正される可能性がある。

軍人とその家族にとってのリスク

人事記録には、変更が難しい情報が含まれる傾向がある。パスワードは数秒でリセットできるが、氏名、生年月日、軍務歴はそうはいかない。だからこそ、この種の流出は短期的な急増ではなく、長く続くリスクを生み得る。

影響を受けた人々にとって考えられる懸念には、次のようなものがある。

  • 本人確認の盗用および詐欺：たとえば、誰かの名義で不正なローンやクレジット口座が開設されること。
  • 標的型フィッシング：ある人の役割や軍務に関する実在の詳細を引用して、正規のものに見せかけるメッセージ。
  • 当局者や給付提供者のなりすまし：さらなる情報や支払いを引き出すことを目的とするもの。
  • 家族へのリスク：その詳細が同じ記録に含まれていたり、そこから推測されたりする可能性がある。

これらは敏感な個人記録の流出に伴う一般的なリスクであり、この特定の事案で確認された結果ではない。報道元はこれまでのところ悪用を報じていない。

これがあなたにとって意味すること

あなたが現役または元軍人、あるいは国防総省職員であれば、公式チャネルを通じて別の連絡があるまでは、自分の情報が対象範囲に含まれている可能性があると想定してほしい。これは予防措置であり、パニックの理由ではない。ペンタゴンと関係がない人にも同じ教訓は当てはまる。あなたのデータを保有する組織がそれを暗号化していなかったり、侵入にすぐ気づかなかったりする可能性があるため、共有する情報を限定し、口座を監視することはどこでも価値がある。

VPNは、信頼できないネットワーク上での通信を保護する。政府データベースへの侵害を防ぐことはできなかったため、この種の流出の解決策として扱うべきではない。

影響を受けた人が今すぐ取れる措置

  1. 公式通知に注意する。 侵害に関するものだと主張する迷惑メール、テキスト、電話ではなく、雇用主または国防総省からの連絡に頼る。
  2. クレジットの凍結を検討する。 主要な信用調査機関でクレジットを凍結すると、誰かがあなたの名義で新しい口座を開くのが難しくなる。通常は無料で、解除も可能だ。
  3. 口座と信用報告書を監視する。 銀行の明細を確認し、覚えのない活動がないか信用報告書を定期的に確認する。
  4. 予期しない連絡には懐疑的になる。 軍務記録、給付、給与に言及するメッセージに応じて、リンクをクリックしたり個人情報を共有したりしない。
  5. ログインを保護する。 メール、銀行、および政府や給付のポータルには、固有のパスワードを使い、多要素認証を有効にする。
  6. 家族と話す。 配偶者や扶養家族がフィッシングの手口と上記の措置を理解しているようにする。

要点

400万人に及ぶペンタゴンのデータ侵害は、その規模だけでなく、どのように起きたかが重要だ。数か月の沈黙と暗号化されていない保存が、潜在的な被害を広げた。数字は依然として推定値であり、調査は進行中であるため、詳細は変わるものと想定してほしい。

影響を受けた可能性がある場合は、ペンタゴンの侵害後に何をすべきかに関する当社のガイダンスにある実践的な措置から始め、これまでに開示された内容の完全な経緯については400万件の記録に関する以前の報道をお読みいただきたい。