フィールドサービス管理プラットフォーム ServiceBridge で重大なセキュリティ上の不備が発生し、3,150万件以上の機密データファイルが流出しました。これにより、企業や個人が詐欺やプライバシー侵害のリスクにさらされています。
セキュリティ研究者の Jeremiah Fowler 氏が、 ServiceBridge に属する31,524,107件のファイル（合計2.68TB）を含む保護されていないデータベースを発見しました。流出した情報は2012年にまで遡り、主にアメリカ、イギリス、カナダの企業に影響を与えています。
流出の範囲
漏洩したデータには、以下のような幅広い機密情報が含まれていました：
- クレジットカード番号の一部
- 請求書と契約書
- HIPAA 同意書
- 個人を特定できる情報（氏名、住所、電話番号）
- 内部および外部の不動産画像を含むサイト監査レポート
- ゲートアクセスコードなどのセキュリティに関わる詳細情報
影響を受けた対象は、個人の住宅所有者から大手チェーンレストラン、カジノ、医療提供者にまで及びます。
セキュリティリスクと潜在的な影響
このような詳細な事業情報や個人情報の流出は、いくつかの重大なリスクをもたらします：
- スピアフィッシング攻撃：犯罪者が流出したデータを使用して、非常に説得力のある標的型フィッシングキャンペーンを仕掛ける可能性があります。
- 請求書詐欺：正規の事業文書にアクセスできることで、攻撃者がより容易に企業を偽装し、支払いを別の場所に誘導する可能性があります。
- 物理的セキュリティの脅威：流出した不動産画像やアクセスコードにより、影響を受けた場所の安全性が潜在的に損なわれる可能性があります。
- 医療プライバシーの侵害： HIPAA 関連文書の存在により、患者の機密性違反の懸念が生じています。
不明確な露出期間
ServiceBridge は通知を受けた後にデータベースを削除しましたが、その情報がどれだけの期間自由にオンラインでアクセス可能だったか、またその間に誰がアクセスした可能性があるかは不明のままです。
教訓と推奨事項
この事件は、機密データの保存に適切なセキュリティ対策を実施することの重要性を浮き彫りにしています：
- 定期的なセキュリティ監査
- 堅牢なアクセス制御
- 機密情報の暗号化
顧客データを委託されている組織は、企業や個人に広範囲な影響を及ぼす可能性のある大規模な情報流出を防ぐため、サイバーセキュリティを優先する必要があります。
調査が続く中、影響を受けた当事者は潜在的な不正行為に対して警戒を続け、個人情報や金融情報を保護するための措置を検討すべきです。