豪州の消費者金融会社で、社員のログイン情報を盗まれ、豪州とニュージーランドの約1400万人分の個人情報が漏洩

何が起きたか

この事故で流出した、または流出したおそれがある情報は、運転免許証番号約790万件、2005年ごろからの顧客記録約610万件（氏名・住所・電話番号・生年月日など）、パスポート番号約5万3000件、月次明細約100件。合計約1400万人です。その後の対応と影響は、連邦警察が捜査し、会社は豪州サイバーセキュリティセンターと連携した。影響を受けた顧客と申込者に連絡し、詐欺への注意を呼びかけた。身代金の要求を拒否したです。

原因になったのは「社員のログイン情報が盗まれ、顧客データを持つ委託先2社のシステムに使われた」です。公表された内容では、生成AIは事故に関わっていません。

なぜ起きたか

会社の発表では、攻撃者は社員のログイン情報を入手し、そのログイン情報で委託先2社のシステムに入り、身分証の画像約10万3000件と顧客記録約22万5000件を持ち出した。その後の調査で、古い記録を含め約1400万人分に広がっていたことが分かった。ログイン情報の入手方法は公表されていない。

原因の種類は「認証情報の漏れ」です。IDやパスワードが漏れ、なりすましで入られた事故を指します。このサイトに掲載している事故のうち、同じ種類の原因で起きた事故は28件あります。

事故が起きてから公表されるまで

1. 2023年3月16日会社がサイバー攻撃を公表
2. 2023年3月17日社員のログイン情報が委託先2社のシステムに使われたと説明（報道）
3. 2023年3月27日被害が約1400万人分に広がったと発表
4. 2023年4月11日身代金の要求を受けたことを公表し、支払わないと表明

どうすれば防げたか

上の流れでは、最初から公表まで、途中で異常に気づいて止める仕組みが働いていません。

止められた可能性がある所（当社の見立て）

委託先のシステムに入れる社員アカウントを絞り、多要素認証と接続元の制限をかけていれば、一つのログイン情報で複数の委託先のデータに届く範囲を狭められた可能性がある。古い顧客記録の保管期間を決めて削除していれば、流出の件数を減らせた可能性もある。

この見立ては、公表された原因から当社が考えたものです。当事者の調査の結果とは異なる場合があります。

自社で確認する3つの手順

上から順に、短い時間で確認できるものを並べています。

1. 委託先のシステムにログインできる自社社員のアカウントを一覧にする
2. そのアカウントに多要素認証と接続元の制限がかかっているかを確かめる
3. 顧客の身分証番号や古い取引記録を何年保管しているかを調べ、保管期限を過ぎたものを削除する

自社に同じ原因があるか

当てはまるものを選んでください。1つでも当てはまれば、この事故と同じ原因が自社にもある可能性があります。

出典と更新の履歴

• Cybercrime update（Latitude Financial）2023.03.20
• Latitude leaks customer data after employee login details stolen（iTWire）2023.03.17
• Latitude Financial data breach surpasses 14 million records（Bitdefender）2023.03.27
• Latitude Financial refuses to pay ransom（Information Age）2023.04.13