豪州の大手健康保険会社で、社内ネットワークに侵入されてデータを持ち出され、約970万人分の個人情報と一部の診療請求情報が漏洩

何が起きたか

この事故で流出した、または流出したおそれがある情報は、氏名・住所・生年月日・電話番号・メールアドレス、一部の顧客の公的医療保険番号、留学生のパスポート番号とビザ情報、一部の診療請求情報（診断・処置のコードなど）。約970万人です。その後の対応と影響は、会社は外部のセキュリティ会社を入れて対応し、身代金の支払いを拒否した。OAICは2024年6月、970万人のプライバシーを侵害したとして連邦裁判所に民事制裁金の訴えを起こしたです。

原因になったのは「委託先社員の私用PCから盗まれたIDとパスワード、多要素認証のないVPN（規制当局の主張）」です。公表された内容では、生成AIは事故に関わっていません。

なぜ起きたか

OAICの主張では、2022年8月7日ごろに委託先社員の私用PCからIDとパスワードが盗まれた。8月12日からそのIDで多要素認証のないVPNにログインされ、管理者権限のアカウントで社内のシステムに入られた。8月24〜25日に検知ソフトが警告を出したが十分に対応されず、10月13日までに約520GBのデータが持ち出されたとされる。これらはOAICの主張で、裁判で争われている。

原因の種類は「認証情報の漏れ」です。IDやパスワードが漏れ、なりすましで入られた事故を指します。このサイトに掲載している事故のうち、同じ種類の原因で起きた事故は28件あります。

事故が起きてから公表されるまで

1. 2022年8月7日委託先社員の私用PCからIDとパスワードが盗まれる（OAICの主張）
2. 2022年8月12日〜10月13日VPN経由で侵入され、約520GBのデータが持ち出される（OAICの主張）
3. 2022年10月13日会社が不審な動きの検知を公表
4. 2022年11月7日約970万人分への不正アクセスを発表し、身代金を払わないと表明
5. 2024年6月5日OAICが連邦裁判所に民事制裁金の訴えを起こす

どうすれば防げたか

上の流れでは、最初から公表まで、途中で異常に気づいて止める仕組みが働いていません。

止められた可能性がある所（当社の見立て）

VPNなど社外から入れる入口すべてに多要素認証を求め、管理者権限のIDを私用の端末やブラウザに保存させない決まりがあれば、盗まれたIDだけで入られる危険を下げられた可能性がある。

この見立ては、公表された原因から当社が考えたものです。当事者の調査の結果とは異なる場合があります。

自社で確認する3つの手順

上から順に、短い時間で確認できるものを並べています。

1. 社外から社内に入れる入口（VPN・リモートデスクトップ・管理画面）を一覧にし、多要素認証の有無を確かめる
2. 管理者権限のアカウントを誰が持ち、どの端末から使っているかを棚卸しする
3. 検知ソフトの警告を誰がいつまでに確認するかを決め、未対応の警告が残っていないかを見る

自社に同じ原因があるか

当てはまるものを選んでください。1つでも当てはまれば、この事故と同じ原因が自社にもある可能性があります。

出典と更新の履歴

• Medibank cyber incident（ASXへの開示文）2022.10.13
• OAIC takes civil penalty action against Medibank2024.06.05
• Medibank Confirms Data Breach Impacts 9.7 Million Customers（SecurityWeek）2022.11.07
• Scathing report on Medibank cyberattack highlights unenforced MFA（BleepingComputer）2024.06.18