Talentsconnect情報漏えいで500万件以上の求人情報とシーメンスのデータが露出

新たな報道によると、Talentsconnectが所有する保護されていないデータベースにより、500万件以上の求人情報に関連する採用データが露出した。このデータベースには、843社の採用記録と、シーメンスやボーダフォンなどの大企業の有効な認証情報が含まれていたと報じられている。この露出は、採用テクノロジー分野で繰り返し起きている問題を浮き彫りにする。機微な採用データが、そこに含まれる個人情報に見合う保護よりもはるかに弱い保護で保存されていることが多いという問題だ。

Talentsconnectのデータ漏えいで何が露出したのか

Talentsconnectのデータベースは無防備な状態で放置され、認証なしでアクセス可能になっていたため、研究者は求人情報、採用記録、数百社に関連する認証情報を閲覧できた。影響を受けた組織にはフォーチュン500レベルの企業も含まれており、シーメンスとボーダフォンは、この漏えいで有効な認証情報が露出した企業として具体的に名前が挙がっている。有効な認証情報は静的な個人データと異なり、露出が塞がれる前に悪意ある者の手に渡れば、内部システムへのアクセスに即座に悪用される可能性があるため、特に懸念される。

843社、500万件以上の求人情報という規模は、今回の漏えいを、最近見出しを飾った他の大規模露出と同程度の領域に位置づける。また、単一の設定不備のあるデータベースが、同じ採用プラットフォームやサービスプロバイダーをたまたま利用していただけの膨大な数の無関係な組織にまで波及し得ることを浮き彫りにする。

採用データがますます標的になる理由

人事・採用プラットフォームは、企業データと個人データが交差する特異な場所にある。履歴書、連絡先、職歴、場合によっては身元調査情報まで保存する一方、そのプラットフォームを利用する企業に属する認証情報や内部記録も保持している。この組み合わせにより、採用データベースは魅力的な標的となる。1回の侵害で、求職者の個人情報と企業の内部アクセス認証情報の両方を一挙に露出させられるからだ。

これは孤立したパターンではない。フランスのメールプロバイダー情報漏えいで4,000万件の記録が露出でも同様の構図が見られた。そこでは、サービスプロバイダーの露出が、プロバイダー自身だけでなく多数の企業・政府系クライアントに影響を及ぼした。Talentsconnectのケースも同じ形をたどっている。サードパーティ製プラットフォームのセキュリティ上の手落ちが、機微なデータを預けたすべての企業にとっての負債になるのだ。

保護されていない、または設定不備のあるデータベースが大量の個人情報・企業情報を露出させるという、より広範な傾向は、Auraデータ侵害で90万件の連絡先記録が露出やExfilSquad侵害でAnalog Devicesの顧客PIIが露出のようなインシデントにも現れている。どちらも、保護するはずのシステムの外から機微な連絡先・顧客情報にアクセスできる状態になっていた。これらのインシデントは原因こそ異なるが、共通点がある。本来は認証が必要だったはずのデータが、発見されるまでに、あるべき期間よりも長く開け放たれていたのだ。

フォーチュン500の視点：大企業が絡むと何が違うのか

Talentsconnectの漏えいが多くの日常的なデータベース露出と一線を画すのは、世界的に知られた企業に属する有効な認証情報が含まれていた点だ。シーメンスとボーダフォンは、新しい人事ツールを試している中小企業ではない。広範な内部ネットワークを持つ巨大な多国籍企業だ。この規模の企業に関連する認証情報が露出したデータベースに現れると、潜在的な下流リスクは、履歴書がシステム内にあった求職者をはるかに超えて広がる。ベンダーのセキュリティ審査や、大企業が自社の採用パイプラインを扱うサードパーティ製プラットフォームを実際にどの程度可視化できているのかという疑問も生じる。

あなたにとっての意味

採用プロセスにTalentsconnectを利用していた企業を通じて求人に応募したことがある場合、履歴書、連絡先情報、応募内容が露出したデータベースに含まれていた可能性がある。求職者は、求人応募に言及する予期しないメールや電話、特に追加の個人情報や金銭情報を求めるものに注意する必要がある。露出した採用データは、標的型フィッシング攻撃に転用される可能性があるからだ。

影響を受けた843社のいずれかに勤める従業員、特にシーメンス、ボーダフォン、その他名前が挙がった組織の従業員は、不審なアカウント活動に注意する価値がある。露出した認証情報は、パスワードが変更される前に内部システムへアクセスしようとする攻撃者に再利用されることがあるからだ。