コロンバス市、サイバー攻撃の規模を明らかにした専門家を提訴

 (10tv.com)
1 ポイント 投稿者 GN⁺ 2024-09-01 | 1件のコメント | WhatsAppで共有
  • オハイオ州コロンバス市は、流出データの種類と規模を公表してきたサイバーセキュリティ専門家 Connor Goodwolf を相手取り訴訟を起こし、裁判所は市の 仮差止命令 の申し立てを認めた
  • 事件は、7月18日に市の技術部門がシステムの 異常な兆候 を発見した後、インターネット接続を遮断したことで本格化し、ハッカー集団 Rhysida は 6.5TB のデータを保有していると主張し、そのうち 45% を公開した
  • Andrew Ginther 市長は8月13日、盗まれたデータは破損しているか暗号化されていて使い物にならない可能性が高いと述べたが、Goodwolf は同日、アクセス可能な 個人情報 の例を 10TV に示してこれに反論した
  • その後公開された内容には、過去10年間の警察報告書に含まれる証人・被害者・容疑者情報や、潜入捜査官の報告書を含む Columbus police crime matrix がダウンロード可能であることも含まれていた
  • 裁判所命令により、Goodwolf は市の盗難データへのアクセス・ダウンロード・配布を行うことができず、市は最低 2万5千ドル の損害賠償と、プライバシー侵害・過失・民事上の転換などの請求を起こしている

Goodwolf を相手取った訴訟と仮差止命令

  • Franklin County の裁判官は、コロンバス市の要請を受けてサイバーセキュリティ専門家 Connor Goodwolf に対する仮差止命令を承認した
  • Goodwolf はここ数週間、10TV やほかの報道機関にダークウェブ上に掲載された情報の種類を伝えており、インタビューで使っている名前は法的な本名ではない
  • 命令により、Goodwolf は市の盗難データに アクセス・ダウンロード・配布 する行為を中止しなければならない
  • 市は最低 2万5千ドル の損害賠償を請求しており、最終金額は裁判で決まる
  • 訴訟で市は、Goodwolf の行動が「回復不能な被害」と「Central Ohio 地域全体にわたる広範な懸念」を引き起こしたと主張している
  • 市の請求は、犯罪行為による損害賠償、プライバシー侵害、過失、民事上の転換の4件である
  • Franklin County Common Pleas Court の記録では、最終の事前審理会議は 2025年9月18日 に予定されている
  • 10TV は Goodwolf にコメントを求めたが、彼は回答を拒否した

データ流出の経過と食い違う公表内容

  • コロンバス市は、7月18日に市の技術部門がシステムで「異常な兆候の証拠」を発見したことで問題が初めて確認されたと明らかにした
  • その後、市はインターネット接続を遮断した
  • 2週間後、ハッカー集団 Rhysida が攻撃の責任を主張し、6.5TB のデータを保有していると述べ、後に盗んだデータの 45% を公開した
  • 8月13日、Andrew Ginther 市長はハッカーが盗んだデータは破損しているか暗号化されていて使い物にならない可能性が高いと述べた
  • 同日、Goodwolf は 10TV に その話は事実ではないとし、アクセス可能な個人情報の種類を示した
  • その後 Goodwolf は、市のデータがダークウェブに掲載されている状況を継続して伝え、最近では Columbus police crime matrix がダウンロード可能だと明らかにした
    • このデータベースには、過去10年間の警察報告書に含まれる証人、被害者、容疑者の情報が含まれる
    • 潜入捜査官の報告書も含まれる

市が掲げる公共安全の論理

  • City Attorney Zach Klein は、今回の措置は Goodwolf の修正第1条（First Amendment）の権利を抑え込もうとするものではないと述べた
  • Klein は、問題は発言ではなく、ダークウェブに入り情報を収集・ダウンロードし、その後に報道機関やほかの人に配布する行為だと説明した
  • より早く措置を取らなかった理由については、データの種類が犯罪捜査を脅かす水準にまで拡大したためだと説明した
  • Klein は、Goodwolf がダウンロードして共有した情報は 公共安全 への脅威であり、警察官・被害者・証人を守るための措置だと述べた
  • 市は、Goodwolf が自ら作成するウェブサイトを通じて盗難データを公開すると脅していると主張している
  • Goodwolf は以前 10TV に対し、ウェブサイトを作る計画はあるが、利用者が自分の名前がデータ流出に含まれているかどうかだけを確認できるようにするつもりだと話していた

関連記事

1件のコメント

 
GN⁺ 2024-09-01
Hacker News の意見

  • 元ペネトレーションテスターとして、Goodwolf にはおおむね共感するが、実データの公開はほぼ常に悪手だと思う。バグバウンティプログラムにスコープ制限があるのもそのため
    市は、進行中の捜査や潜入捜査官の報告書に関するデータを彼が共有した点に怒っているようだが、正確に何を共有したのかによっては、市を責めにくい場合もある。データがすでにどこにあるかとは別に、それを持ってきて他人に渡すのは明らかに良くない
    記者に対して、そうしたデータが存在しダウンロードできることを証明するのが目的だったなら、実データにアクセスしなくても、フォーラム投稿のスクリーンショット、リンクの共有、データ種別の説明など、方法はいくつもあった。もしその程度しかしていないのに市がこのように反応したのなら明らかな濫用だが、進行中の捜査データを記者に広めるなと命じること自体はおかしくない
    業界に入る前なら、こういうものをホワイトハットハッキングだと思っていただろうというくらい、やってしまいやすいミスなので共感はする。侵害の事実を知らせるのは良いことだが、どう知らせるかが本当に重要
    ただし、自分の経験は2016年に1年ほど働いたものなので、今は変わっているかもしれない。それでも今日でも、ペネトレーションテスターがどんな侵害データであれ実際の配布を容認するとしたら、かなり驚くと思う
    市によると、Goodwolf は自らウェブサイトを作って市の盗まれたデータを公開すると脅したというが、Goodwolf は 10TV に対し、名前がデータ侵害に含まれているかだけを確認できるサイトを作る計画だと話していた。これはパスワード漏えい確認サイトとは違い、誰でも名前を入力して、その人が刑事捜査の証人かどうかを確認できてしまう

    • 正確に何をどう共有したのかはやや不明瞭。記事とリンクされているデータ侵害の記事では、Goodwolf は内容を確認するためにデータをダウンロードし、記者に見せたが、実際にデータを公開したり、記者が恒久的に保持できるよう配布したりしたわけではないように見える
      これは Boeing が「737 MAX の問題を知らなかった」と言っているところへ、社員が「知っていたでしょう、これが真実です」と機密メモのスクリーンショットを報道機関に見せるのに近い
      名前を検索して警察捜査との関係の有無を確認するウェブサイトを作るのは悪い考えだという点には同意するが、彼は実際にそうしたわけではなく、計画していただけだった
    • 私が読んだ記事によれば、Goodwolf はデータを公開していない。ハッカーたちがデータを公開し、市が嘘をつき、Goodwolf は公開アクセス可能なデータを取得して、市の嘘を記者に証明しただけ
      その記事が状況を大きく歪めていないのであれば、これは市が Goodwolf をスケープゴートにしようとしている、巨大な市民的自由の侵害にしか見えない。彼らが言う被害はすべて、自分たちの不注意が招いた結果だ
    • これは情報を「公開」したのではなく、すでに公開されていたものだ。ダークウェブは特別な招待制の接続が必要な場所ではなく、どこを見ればいいかさえ知っていれば誰でもアクセスできる普通のウェブサイト群にすぎない。TOR を使う場合でも同じ
    • 市を責めるのは難しくない。こうした意思決定者たちは、ひどいサイバーセキュリティ問題を助けようとする人々の意欲をくじく暴力を振るっている。そういう問題はどこにでもある
      健全な社会なら、この起訴を決めた人は火山への生け贄にされていただろう。もちろん比喩的に
    • これは犯罪者たちがすでに公然と放出していたデータだ

  • 「これは表現の問題ではありません。違います。キーボードを使ってダークウェブに入り、情報を集め、自分のコンピューターにダウンロードし、それを報道機関や他の人々に配布したという実際の行為の問題です」という Klein の発言は間違っている
    これは、保護できなかったデータの性質と形式について市民に嘘をついた問題だ

    • 政治家たちがダークウェブを、夜に隠れて子どもを狙う怪物のように語るのは面白い。文字どおりウェブサイトの集まりにすぎないのに

  • これはばかげている。研究者たちは Ohio Columbus 市のセキュリティ体制がどれほどひどいかを指摘しただけだ
    8月13日、Andrew Ginther 市長は、ハッカーが盗んだデータは破損しているか暗号化されていて、おそらく使い物にならないだろうと述べた。その数時間後、Goodwolf は 10TV にそれは事実ではないと伝え、自分がアクセスできた個人情報の種類を示した
    市の指導部全体がリコール投票の対象になるべきだ。セキュリティがなくて恥をかき、「暗号化されてるよ bro！信じて、僕は政治家だから！」という調子で市民に嘘をつき、それが正当に暴かれたのに、税金でこんな愚かな訴訟まで起こして火に油を注いでいる

    • 同意。かなり大きな都市で、別の話を聞かせてくれる人がいないなら、地方政府はおおむねこんなふうに動いているように見える。全員が「知る限り最善を尽くした」という前提の上で生きていて、その言葉が責任を免れさせるもののように見えている
      何年にもわたって奇妙なことをたくさん見てきたし、セキュリティがどう機能しているかについて当事者の説明だけで責任を免れさせるのは、よく言っても意図的な無知だ。地方政府に個人情報を持たせるなら、そのデータに責任を負わなければならない。2024年に「知らなかった」は受け入れられないし、実際には少なくとも10年前からそうだった

  • うろたえた市が、自分たちがどれだけでたらめを言っていたかを皆に知らせた厄介者を訴えたという構図だ
    公開された情報の内容を調査したセキュリティ研究者を訴えても、誰も守れない

    • Dark Net Diaries のあるエピソードを思い出す。研究者たちがある州政府に雇われ、辺鄙な裁判所の建物で物理的なペネトレーションテストをしていたところ捕まった。ペネトレーションテスターたちは警備員と地元警察に協力し、状況を説明した
      ところが現場に管轄権を主張する別の人物が現れて大騒ぎし、どこかに電話した後、ペネトレーションテスターたちをその場で不法侵入として逮捕した
      州政府は彼らをどこかの郡拘置所に放置し、最終的には州政府が恥をかいた後、その会社とペネトレーションテスターたちに対して民事損害賠償と刑事訴追を進めようとしたようだ
      結局、容疑は取り下げられたが、ペネトレーションテスターたちの評判はしばらく傷ついた

  • こういう愚かで武器化された接近禁止命令に対抗するには、EFF や ACLU が引き受けて弁護を手助けするのにぴったりの案件だ

  • こちらのまとめのほうが良さそう
    https://arstechnica.com/security/2024/08/city-of-columbus-su...

  • ハッキング組織：訴えられない
    ハッキングされた記録をホストした公開ウェブサイト：訴えられない
    嘘をついた公務員：訴えられない
    その三つすべてを指摘した普通の人：訴えられる

  • https://archive.is/dEBJT
    EU ではブロックされている

  • Columbus に何年も住んでいたが、これはまったくありそうな話だ。共和党優勢の州にある民主党系の都市という立ち位置が、政府を自己防衛においてかなり厚かましくさせる面がある

  • 「これは表現の問題ではありません。キーボードでダークウェブに入り、情報を集め、コンピューターにダウンロードして、報道機関や他の人々に配布したという実際の行為の問題です」という言葉が正しいなら、記事に何か抜けているものがない限り、Chrome や Firefox がパスワード漏えいの可能性を知らせる機能も違法になるはずだ
    現実には、この都市が間違っているということだ