Citrix Systems（以下、Citrix）は2019年3月8日、米連邦調査局（FBI）から同月6日に通達を受けたことを発表した。同社のネットワークにサイバー攻撃者集団が不正アクセスした可能性があるという内容だった。同社は即座に調査を開始し、FireEyeのインシデント対処チームMandiantなどの専門家に支援を依頼した。

　調査の結果、最初に侵害が発生したのは2018年10月13日だったことが判明。よくあるIDとパスワードの組み合わせを何組も使ってログインを試みる「パスワードスプレー攻撃」という手口により、「非常に限られた数」（Citrix）の従業員用メールアカウント情報が不正に取得された。攻撃者はこれらのアカウントを利用して社内の共有ネットワークドライブにアクセスし、「現在と過去のビジネスドキュメント」を盗んだと同社は発表した。だが、そのドキュメントがどのようなものなのか、同社は詳しいことを明らかにしていない。

　顧客の情報が盗まれたかどうかについてCitrixは言及していないが、「保護対策強化を検討する必要のある、限られた数の顧客」への通知を開始したという。同社は全世界でパスワードのリセットを実施し、パスワードの管理方法を改善したと述べているが、詳しい方法は明らかにしていない。

5．Clinical Pathology Laboratories

　医療費回収の代行機関American Medical Collection Agency（AMCA）でデータ流出が発生し、医療関連企業3社がその影響を受けたことが確認されている。その一社が臨床検査会社Clinical Pathology Laboratories（CPL）だ。CPLによると、AMCAは2019年3月21日、ネットワークに関するセキュリティインシデント発生を確認した。AMCAは同年5月、このインシデントについて複数の医療関連企業に通知したものの、「インシデントが見つかった当初、影響を受けたと推測される顧客数について、AMCAから十分な情報提供がなかった」とCPLは述べている。CPLはこの件を同年7月12日に公表した。

　CPLによれば、同社の患者約220万人の氏名、住所、電話番号、生年月日、受診日、医療費の支払い残高、医療提供者の情報の他、約3万4500人の患者のクレジットカード情報や銀行情報が不正に入手された。他方で、社会保障番号、臨床検査、病歴などの情報は被害を受けていないという。

6．Desjardins

　金融機関の協同組合Desjardinsは2019年6月20日、「警察の捜査により、“悪意を持った従業員”が、同組織の顧客を含む約290万人分の個人情報を盗んだことが判明した」と発表した。この従業員は解雇されたが、顧客情報を社外の個人に許可なく開示したという。同組織は流出した顧客情報の詳細や、その情報を入手した社外の人物については明らかにしておらず、「パスワード、パスワード紛失時に利用するセキュリティの質問、PIN（個人識別番号）は流出していない」と述べている。同組織は顧客情報を保護するために「監視とセキュリティの強化策を導入する」と説明したが、その具体的な内容は公表していない。影響を受けた顧客には、信用情報監視プランを12カ月間無償で提供するという。

7．Evite

　オンライン招待状作成サービス「Evite」を運営するEvite社は2019年6月上旬、攻撃者が販売目的で同社のデータを盗んでいたことを確認した。この件は既に同年4月に判明しており、同社を含む複数の企業が被害を受けていた。同社によると、影響を受けたのは「使用していないデータストレージにあるファイル」で、2013年までのユーザー情報が保存されていたという。同社が調査した結果、侵入を受けたのは2019年2月22日だったことが判明した。だが当該ファイルへの不正アクセスを確認できたのは、同年5月になってからだった。

　メールアドレスとパスワードが流出しているかどうかを調べることができる無料Webサービス「Have I Been Pwned」（HIBP）は、盗まれたデータについて、約1億100万件のメールアドレスが流出したとみているものの、その大半はEvite会員ではなく招待状の送信先だという。加えてEvite会員の氏名、電話番号、住所、生年月日、性別、平文のパスワードが流出した。Evite社は「パスワードをリセットし、“追加のセキュリティ対策”を導入した」と述べているが、その詳細は明らかにしていない。

　後編では、トヨタ自動車が被害を受けた事件など、残る3件のデータ流出事件について紹介する。