過去にもたびたび発生

「Amazon S3」内のデータが設定ミスで公開状態に　漏えいしたデータは？

Amazon Web Services（AWS）のオブジェクトストレージ「Amazon S3」でデータ漏えいが発生した。その中には、Ford MotorやNetflixなどの企業に関するデータが含まれていた。何が起きたのか。

公開 2019年08月15日 10時01分

著者

Michael Heller

[TechTarget]

印刷する

　サイバーリスク管理会社UpGuardの調査チームは、Amazon Web Services（AWS）が提供するオブジェクトストレージ「Amazon Simple Storage Service」（Amazon S3）の設定ミスにより、データが公開状態になっていることを発見した。公開されていたデータの中には、Ford MotorやTD Bankなど複数の大企業の情報が含まれていた。

　公開状態になっていた3個のAmazon S3バケット（データ保存領域）を利用していたのは、データマネジメントベンダーAttunityだった。合計約1TBのデータのうち750GBは圧縮されたバックアップ用データだ。UpGuardのデータ漏えい調査チームによると、公開状態になっていたAttunityのデータには同社の社内文書の他、同社製品のユーザー企業であるFord、TD Bank、Netflixなどに関するドキュメントも含まれていたという。UpGuardの調査チームは、ブログの記事で次のように見解を示した。

2000社以上の企業のデータについて個別に報告することは不可能であり、「データ漏えいのリスクに関する意識を高める」という調査チームの目的の達成には必要ない。Attunityのビジネスは、データを保持し、集中的に分析できるようにすることだ。認証データ、情報、通信内容を公開することは、Attunityが扱うデータの安全性を脅かし得る。多くのファイルは何年も前のものだが、われわれが検知して報告した時点で当該バケットはまだ使用中で、発見から数日以内に変更されたファイルもあった。

併せて読みたいお薦め記事

AWSサービスとセキュリティ

クラウドサービスのセキュリティで気を付けること

　2019年5月6日、データ分析ツールベンダーQlik Technologies（以下Qlik）はAttunityを買収した。UpGuardはAttunityのデータが公開状態になっていることを同月13日に発見し、同月16日にAttunityに通知した。Qlikは同年2月半ばにはAttunityの買収に同意していたが、Attunityのセキュリティ監査を実施したかどうかについてはコメントしていない。Qlikは「当該バケットが保持していたのはAttunityの社内データのみであり、顧客データは含まれていなかった」という声明を出している。

　Attunityは、Amazon S3にある社内データの問題について2019年5月中旬に通知を受けた後、即座にデータの安全性を確保した。Attunity製品のユーザー企業はシステムを各社の環境で運用しており、Attunityはユーザー企業の機密データを保存したりホスティングしたりすることはないと説明する。Qlikのスポークスパーソンを務めるデレク・ライアンズ氏の説明では、QlikはAttunityを買収した後にこの問題を認識し、自社のセキュリティ基準と対策をAttunityのシステムにも適用したという。「QlikのSOC（セキュリティオペレーションセンター）による24時間365日の監視もその一つだ」（同氏）

公開されていたデータの中身

　公開状態になっていたAttunityのデータは、従業員の氏名、所在地、給与などを含んでいた。それだけにとどまらず、短文投稿サービス「Twitter」の情報漏えいを受けて設定した自社のTwitterアカウントの新しいパスワードを平文で通知する社内メールや、その他の認証情報もあった。UpGuardはそれらの認証情報が使えるかどうかは試していないため、それが有効な情報なのかどうか、それを使ってどのようなレベルのアクセスが可能なのかは分かっていない。UpGuardによれば、公開状態になっていたAttunity製品のユーザー企業のデータは以下を含むという。

Netflixのデータベース認証文字列が書かれた文書
TD Bank宛てのソフトウェア料金の請求書
Fordのプレゼンテーション文書

QlikとAWSの対策

　ライアンズ氏は「Attunityのデータ漏えいに関する調査はまだ進行中で、当該バケットがどれくらいの期間、公開状態になっていたかはまだ不明だ」と述べる。Qlikは、外部のセキュリティ会社にAttunityのセキュリティ評価を依頼済みだという。「私たちはこの問題を重く受け止めており、できる限り早急に調査を完了させるよう努めている」と同氏は説明。現時点までの調査を見る限り、データが外部からアクセスされた形跡が確認できるのは、Qlikに連絡してきたセキュリティ会社によるものだけだという。

　UpGuardはこれまでにもAmazon S3のデータ漏えいを発見しており、調査によるとFacebook、Verizon Communications、米国防総省などのデータも公開状態になっていたという。AWSは今回の事件の直後である2019年6月25日に、セキュリティカンファレンス「AWS re:Inforce」を初めて開催し、こうした漏えいにつながるユーザー企業の設定ミスを防ぐための新機能を発表した。

　「今回の事件は、データ漏えいのシナリオに関する有益な教訓になる」とUpGuardの調査チームは述べる。攻撃者は企業のサーバからさまざまな方法でデータをコピーしようと試みる。そうしたデータにはシステム認証情報や個人情報が含まれる恐れがある。「クラウドサービスの設定ミスやプロセスエラーにより、インターネットでデータが公開状態になった場合、そのデータは安全ではなくなる」と同チームは警告する。

印刷する