ハッカー、AT&Tのほぼすべての顧客の通話・SMS記録を窃取

AT&Tデータ流出事件の要約

• AT&Tデータ流出事件

  • AT&T Corp.は、約1億1,000万人の顧客の通話およびSMSメッセージ記録が流出したことを公表
  • 流出したデータには通話やSMSの位置情報が含まれており、通話が行われた場所を追跡できる情報である
  • データはユーザー名とパスワードのみで保護されたクラウドデータベースに保存されていた

• 事件の経過

  • AT&Tは2023年4月19日に流出の事実を把握したが、連邦捜査当局の要請により公表を遅らせた
  • 流出したデータには、2022年5月1日から10月31日まで、および2023年1月2日の顧客の通話・SMS記録が含まれる
  • 流出データには、通話やSMSの内容、社会保障番号、生年月日などの個人識別情報は含まれていない

• 連邦捜査との協力

  • FBIはAT&Tに対し、顧客への通知を遅らせるよう要請
  • AT&T、FBI、DOJは協力して事件対応を進めている

• Snowflakeとの関連性

  • このデータ流出は、クラウドデータプロバイダーSnowflakeの160社超の顧客に関連している
  • Snowflakeサーバーに保存されていたデータは、ユーザー名とパスワードのみで保護されていた
  • Snowflakeは現在、すべての新規顧客に多要素認証を必須としている

• 他企業でのデータ流出

  • Advance Auto Parts、Allstate、Anheuser-Busch、Los Angeles Unified、Mitsubishi、Neiman Marcus、Progressive、Pure Storage、Santander Bank、State Farm、Ticketmasterなどの企業もSnowflakeサーバーでデータ流出被害を受けた

• Mark Burnettの見解

  • Burnettは、今回のAT&T流出事件で最も懸念される点はメタデータが流出したことだと指摘
  • メタデータとは、誰が誰と連絡を取り合ったかを把握できる情報である

• 企業のセキュリティ慣行の問題

  • 多くの企業はいまだに、機微な顧客データを適切なセキュリティなしで保存している
  • こうしたセキュリティ慣行に責任を問う法的制裁が不足している

GN⁺のまとめ

• AT&Tのデータ流出事件は約1億1,000万人の顧客に影響し、通話およびSMSの位置情報が含まれていた
• FBIの要請により事件の公表は遅れ、Snowflakeに関連するデータ流出事件とも結び付いている
• 多くの企業はいまだに機微なデータを適切なセキュリティなしで保存しており、その背景には法的制裁の不足がある
• 今回の事件は、企業がデータセキュリティにより一層注意を払う必要があることを示している