サイバーセキュリティクラウドでGitHub認証情報1件が流出、顧客情報に漏えいのおそれ｜サイバーセキュリティ.com

  1. ホーム /
  2. サイバーセキュリティ・情報漏洩ニュース /
  3. サイバーセキュリティクラウドでGitHub認証情報1件が流出、顧客情報に漏えいのおそれ
             

サイバーセキュリティクラウドでGitHub認証情報1件が流出、顧客情報に漏えいのおそれ



サイバーセキュリティクラウドは11月12日、開発に使うGitHub上の管理領域に不審なアクセスがあり、個人情報に漏えいのおそれがあると発表した。認証情報はわずか1件の流出で、原因や影響範囲は調査中であり、今回は第一報にあたる。

概要

同社は、ソフトウェア開発に使っているGitHub上の同社管理領域に不審なアクセスがあったとした。外部機関からの情報提供により、従業員が業務で使っていたGitHubの認証情報1件が外部に流出していたことが判明したという。

同社の発表によると、時系列は次のとおり。

外部機関から情報提供があった。提供を受けた日付は、確認できた範囲では公表されていない。

11月5日、GitHubのアクセスログを調査した結果、この認証情報を使った第三者によるものと考えられる不審なアクセスが過去に行われていたことを確認した。

11月12日13時、「当社開発環境における情報漏えいのおそれに関するお知らせとお詫び（第一報）」を開示した。

確認できるログの対象期間や記録内容には制約がある。認証情報が有効だった期間全体のアクセス状況までは把握できていないとしている。認証情報が流出した原因や経路は調査中だ。

被害・影響の範囲

漏えいのおそれがあるのは、GitHub上に保存されていた一部の顧客に関する情報（企業名、氏名、メールアドレスなど）と、サービス利用に伴う通信関連情報である。これらは第三者に閲覧・取得された可能性を否定できないとされる。

「など」とされた項目の詳細や、含まれない情報の範囲は、確認できた範囲では示されていない。対象となる個人情報の範囲や対象者は調査中で、件数も公表されていない。

現時点で、本件に起因するサービスへの不正アクセスや不正な操作、二次被害は確認されていない。サービスの提供やセキュリティ機能への影響も確認されておらず、各サービスは通常どおり提供を続けている。

企業・団体の対応

同社は発表の中で、お知らせとともにお詫びを表明している。被害拡大の防止を最優先に必要な措置を実施し、原因・経路と影響範囲の調査を進めているとした。

技術的な措置として、流出した認証情報の無効化を行った。GitHub上に保存されていた他サービス用の認証情報の確認と変更、認証情報やアクセス権限の見直しも実施した。関係する開発端末の隔離とアカウントの利用停止も行った。

社内のセキュリティエンジニアと外部の専門機関によるフォレンジック調査を進めている。個人情報保護委員会をはじめとする関係機関への報告も実施済みである。

確認できた顧客には順次案内するとしている。顧客から取り扱いの委託を受けている個人情報については、委託元の顧客と連携して本人への通知などを進める。委託元の顧客による個人情報保護委員会への報告は、連名報告を含めた方法を相談中とされる。新たに知らせるべき事項が判明すれば、速やかに報告するとしている。

編集部コメント（読者企業が取るべき対策）

今回の事案は、認証情報が1件流出しただけでも、開発基盤に置かれた顧客情報に影響しうることを示している。ログの保存範囲に制約があると、被害の全体像を後から確定しにくい。開発環境の認証情報とログは、平時から管理しておく必要がある。

認証情報の棚卸しと無効化手順の整備
GitHubの個人アクセストークン、SSH鍵、デプロイキーなどを一覧にして、発行者と用途を把握する。使っていないものは失効させる。流出が疑われたときに即座に無効化できる手順も決めておく。

リポジトリ内の機密情報の点検
リポジトリに個人情報、顧客データ、他サービスの認証情報が置かれていないか確認する。見つかった場合は履歴を含めて削除し、認証情報は再発行する。シークレットスキャンの自動実行も検討したい。

アクセスログの保存期間と監査体制
GitHubの監査ログを、必要な期間にわたって取得し保存できているか確認する。不審なログインやリポジトリの複製を検知する仕組みも用意する。今回は、確認できるログの期間が調査の制約になっている。

認証強化とアクセス権限の最小化
多要素認証を全アカウントに必須とし、可能なら組織のSSO連携を使う。権限は業務に必要な範囲に絞り、退職や異動のときは速やかに見直す。

顧客への情報提供と委託元との連携の準備
個人情報の取り扱いを委託されている場合は、委託元への連絡手順と報告方法を事前に決めておく。対象の特定に時間がかかる場合も想定し、第一報の出し方を整理しておく。

なお、認証情報の流出原因や経路、漏えいのおそれがある情報の範囲と件数は現在調査中とされている。今後の続報に注意されたい。

出典

関連コラム（あわせて、以下の記事もよく読まれています）

製品・サービス（当該コラムの内容に関連する製品・サービスはこちら）

SNSでもご購読できます。