国民の約7割相当の個人情報が流出したブルガリア、犯人は20歳の青年：2019年、これまでの10大データ流出【前編】

2019年7月中旬までに発生したデータ流出事件を振り返る。前編となる本稿では、写真共有サービス「500px」およびブルガリア政府が標的となった事件を紹介する。

[Rob Wright，TechTarget]

　2019年上半期、企業が発表したデータ流出事件は複数ある。1件の不正アクセスが複数の医療関連会社に波及し、患者の個人情報と金融機関情報が何百万件も流出したケースもあった。

　本連載は、2019年7月15日までに公表された2019年のデータ流出事件のうち、注目すべき10件をまとめている。流出した情報の範囲や種類、規模はそれぞれ異なるが、いずれも機密情報が攻撃者（外部および内部犯行者）から不正アクセスを受けた。これらのうち多くの事例において不正アクセスの発生から発覚までに時間がかかっており、中には6カ月以上かかったケースもあった。一方でネットワークへの侵入が発生した当日に、それを検知して阻止したケースが1件ある。

　以下、データ流出10大発表をアルファベット順に振り返る。

1. 500px
2. ブルガリア国家歳入庁
3. Canva
4. Citrix Systems
5. Clinical Pathology Laboratories
6. Desjardins
7. Evite
8. LabCorp
9. Quest Diagnostics
10. トヨタ自動車

併せて読みたいお薦め記事

さまざまなデータ流出事件

• MicrosoftのWebメール「Outlook.com」で不正アクセス　何が起きたのか？
• Citrixが「パスワードスプレー攻撃」で不正アクセス被害　なぜ防げなかった？
• 「Slack」が不正アクセス対策でパスワードをリセット、10万人以上に影響か

データ流出対策を学ぶ

• 7pay事件で再考すべき「Webアプリケーション」のリスクと対策
• クラウドセキュリティの“本命”　「CASB」が備える4大機能とは

1．500px

　写真共有サービスを運営する500px社は2019年2月、運営する同名サービスについて、全ユーザーアカウント約1500万件の情報が流出したと発表した。発表によると、同社のエンジニアリングチームは同月8日に“セキュリティの問題”を発見し、第三者セキュリティ企業や法執行機関と協力して調査を開始したという。調査の結果、2018年7月5日ごろ、同社のネットワークが不正アクセスを受けていたことが判明した。

　氏名、ユーザー名、メールアドレス、パスワードといったユーザー情報が攻撃者の手に渡った。ユーザーが生年月日、性別、住所を500px社に提供していた場合は、これらの情報も流出した。パスワードはハッシュ関数「MD5」でハッシュ化されていたが、MD5は安全性が低く、現在は一般的に非推奨になっている。

　500px社は全ユーザーのパスワードを強制リセットした。ただし「ユーザーアカウントが悪用された形跡はない」と同社は述べている。メールアドレスとパスワードが流出しているかどうかを調べることができる無料Webサービス「Have I Been Pwned」（HIBP）によると、同社のユーザー情報は秘匿なネットワーク「ダークWeb」で販売されているという。

2．ブルガリア国家歳入庁