公式な詳細情報は不明のまま

「Adobe CC」のユーザーデータ750万件が公開　本番データをテスト環境で利用

「Adobe Creative Cloud」のユーザーとAdobe従業員約750万人分のデータが公開状態となっていたことが分かった。この事件により、本番データをテスト環境で使うことの危険性が浮き彫りになったと専門家は指摘する。

公開 2019年12月10日 10時01分

[TechTarget]

印刷する

　「誤って顧客データをテスト環境で公開状態にしてしまった企業」の最新例に、Adobeが加わった。同社は分散処理型全文検索エンジン「Elasticsearch」を認証なしでアクセスできる状態として公開していた。格納されていたのは、クリエイター向けサブスクリプションサービス「Adobe Creative Cloud」（Adobe CC）のアカウントデータ約750万件だ。具体的にはメールアドレスやID、国、サブスクリプション・支払いのステータス、ユーザー属性（Adobe従業員かどうか）、といった項目を含む。

併せて読みたいお薦め記事

さまざまなデータ流出事件

システム開発でのセキュリティ対策

専門家の見解

　セキュリティ研究者のボブ・ディアチェンコ氏は、2019年10月19日に公開状態のデータベースを最初に発見し、直ちにAdobeに通報した。同社のデータベースが公開状態となっていたことを最初に報じたのは、ディアチェンコ氏の発見に協力していた技術レビューサイトComparitechだ。同社は通報当日、無防備になっていたデータベースを保護したものの、データが閲覧されていたかどうかは不明だ。

　発見当初は、それがAdobeのクラスタ（サーバの集合）であることを示すものは「何もなかった」とディアチェンコ氏は語る。IPアドレスやDNS（ドメインネームサーバ）の逆引き結果などを参照しても、そうしたクラスタとは考えられなかったためだ。だがサンプルデータを分析して調べたところ「Adobeのクラスタであることが確認できた」と同氏は明かす。

　「悪意ある攻撃者がAdobeのデータにアクセスしていたならば、アカウント保有者がAdobeの従業員であるかどうかを識別するデータを使って、Adobe従業員を狙ってフィッシング攻撃を仕掛ける恐れがある」。リスク管理プログラム「Shared Assessments」を運営するSanta Fe Groupで、シニアバイスプレジデントを務めるブラッド・ケラー氏は、そう語る。

不明瞭な公式発表

　Adobeのセキュリティ広報チームは2019年10月25日に公開したセキュリティ速報で、「データベースが公開状態となっていたことは、われわれのテスト環境に関する作業と関連がある」と述べた。このテスト環境に関して同チームは「誤って構成されていた」と説明する一方、具体的な構成については説明していない。

　セキュリティ速報を公開した理由としてAdobeのセキュリティ広報チームは、同社が「顧客に対する透明性を重視している」ことを挙げる。だが公開状態だったデータベースが保有するデータの説明は、ディアチェンコ氏の報告ほど詳しくない。「データが公開状態となっていた期間」「データが不正アクセスされた痕跡の有無」についても、速報は言及していない。なおディアチェンコ氏は、公開状態が1週間程度続いたと推計する。加えて影響を受けたユーザーに直接連絡したかどうかも、Adobeは公表を控えている。

　TechTargetはAdobeに対し、「実際の顧客データをテスト環境で使ったのはなぜか」「影響を受けたAdobeの従業員を対象に、特別なセキュリティ対策を実施するかどうか」を問い合わせた。同社は回答せず、「公開したセキュリティ速報を参照してほしい」と述べるにとどまった。

　最近では2019年8月に、セキュリティベンダーImpervaがテスト環境を侵害され、顧客データへの不正アクセスが発生した。顧客データをテスト環境や開発環境で使うことの危険性について、ケラー氏はこう指摘する。「本番データはそうした環境で絶対に使ってはならない。例外は実際のデータが必要な場合だけだ。だがそうした場合でも、少なくともデータを匿名化する必要がある」

印刷する