米国のチケット販売会社で、外部のクラウドデータベースに保存していた顧客情報が持ち出され、ネット上で売りに出された

何が起きたか

この事故で流出した、または流出したおそれがある情報は、氏名、連絡先、利用者ごとに異なるその他の情報。人数は公表されていない（メイン州への届出は「1000人超」）。報道では暗号化されたカード情報の一部も含むとされるです。その後の対応と影響は、興行会社は調査を始め、捜査機関と協力した。2024年7月から対象者に通知し、12か月分の個人情報の監視サービスを提供した。調査会社とクラウド提供会社は、同じクラウドの顧客企業約165社に被害のおそれを通知したです。

原因になったのは「多要素認証の無いクラウドデータベースのアカウント」です。公表された内容では、生成AIは事故に関わっていません。

なぜ起きたか

Mandiantの報告では、この一連の攻撃はすべて顧客側の認証情報が盗まれたことによるもので、情報窃取型のマルウェアで盗まれた認証情報が年単位で変更されずに使える状態だった。入られたアカウントには多要素認証と接続元の制限が設定されていなかった。チケット販売会社のアカウントで多要素認証が無かったことは報道による。

原因の種類は「認証情報の漏れ」です。IDやパスワードが漏れ、なりすましで入られた事故を指します。このサイトに掲載している事故のうち、同じ種類の原因で起きた事故は28件あります。

事故が起きてから公表されるまで

1. 2024年4月2日〜5月18日外部のクラウドデータベースで不正な操作が行われる
2. 2024年5月20日興行会社が不正な操作を確認する
3. 2024年5月27日犯行グループが顧客データを売りに出す
4. 2024年5月31日興行会社が米証券取引委員会に届け出る
5. 2024年7月対象者への通知を始める

どうすれば防げたか

上の流れでは、最初から公表まで、途中で異常に気づいて止める仕組みが働いていません。

止められた可能性がある所（当社の見立て）

クラウドのデータベースやデータ分析サービスのアカウントに多要素認証と接続元の制限を設定し、使っていない認証情報を定期的に変えていれば、盗まれたパスワードだけで入られることを防げた可能性がある。

この見立ては、公表された原因から当社が考えたものです。当事者の調査の結果とは異なる場合があります。

自社で確認する3つの手順

上から順に、短い時間で確認できるものを並べています。

1. 顧客データを置いている外部のクラウドサービスとアカウントを一覧にする
2. 各アカウントに多要素認証と接続元の制限があるかを確認する
3. 長く変更していない認証情報や、退職者・委託先のアカウントが残っていないかを確認する

自社に同じ原因があるか

当てはまるものを選んでください。1つでも当てはまれば、この事故と同じ原因が自社にもある可能性があります。

出典と更新の履歴

• Live Nation Entertainment Form 8-K（2024年5月31日）2024.05.31
• UNC5537 Targets Snowflake Customer Instances for Data Theft and Extortion（Mandiant / Google Cloud）2024.06.11
• Ticketmaster sends notifications about recent massive data breach（BleepingComputer）2024.06.28