Uberが個人情報の取り扱いで犯したミス【前編】

Uberの「100万人分以上の個人情報漏えい事件」はなぜ起こったのか

オーストラリアのプライバシー監視機関の調査によって、個人情報を保護する適切な措置をUberが講じていなかったことが判明した。報告書の情報から、問題が発生した背景を読み解く。

公開 2021年10月11日 05時02分

[TechTarget]

印刷する連載新着通知を受け取る Googleで優先するソースとして追加

　オーストラリアのプライバシー監視機関であるオーストラリア情報委員会（OAIC：Office of the Australian Information Commissioner）は、Uber Technologiesの情報が漏えいしていたことを突き止めた。同社は保有する約120万人分のオーストラリア在住の顧客およびドライバーの個人情報を保護し切れず、2016年10～11月に発生したサイバー攻撃によってこれらの情報が漏えいしていたという。OAICはこの問題を特定後、Uberの米国本社とオランダ法人を詳細に調査した。

併せて読みたいお薦め記事

さまざまな情報漏えい

Uberが“あれ”をしなかったことが漏えいを招いた

　Uberは攻撃者にデータを破棄するよう要請しており、不正アクセス発生後に攻撃者がデータを悪用した形跡はない。OAICは、オーストラリア国民の個人情報を保護する対策を同社が講じていたかどうかに焦点を置いて調査を進めた。

　オーストラリアのプライバシー関連法に従って国民の個人情報を不正アクセスから保護し、データを破棄または匿名化するという対処を、Uberは実施していなかった。「このことから、同社はオーストラリアのプライバシー関連法に違反していると言える」と、OAICで情報コミッショナーを務めるアンジェリン・ファルク氏は語る。Uberは、オーストラリアのプライバシー関連法準拠に必要な手続きやシステムを実装するための措置も講じていなかった。

　この情報漏えいに関するOAICの報告書によると、攻撃者はソースコード共有サービス「GitHub」にあるUberのリポジトリ（ファイルやディレクトリの状態を保存する貯蔵庫）で、クラウドサービス群「Amazon Web Services」（AWS）の資格情報を見つけた。その資格情報を悪用して、クラウドストレージ「Amazon Simple Storage Service」（Amazon S3）から、運転手データなど16個のファイルを不正にダウンロードしたという。これらのファイルはバックアップ用のファイルであり、データ移行用としてUberが自社の標準プロセスを踏まずに作成したものだ。同社はこれらのファイルに暗号化を施していなかった。