Mixpanelのセキュリティ侵害インシデント

 (mixpanel.com)
1 ポイント 投稿者 GN⁺ 2025-11-29 | 1件のコメント | WhatsAppで共有
  • 2025年11月8日、Mixpanel は一部の顧客に影響を与えた スミッシング（smishing）攻撃 を検知し、直ちに対応手順を実行した
  • 同社は 不正アクセスの遮断、影響を受けたアカウントの保護、外部サイバーセキュリティパートナーとの連携 など、包括的な措置を実施した
  • 対応措置には セッション終了、認証情報の差し替え、悪意あるIPの遮断、全従業員のパスワード全面リセット などが含まれる
  • Mixpanelは 影響を受けた顧客に直接通知 しており、連絡を受けていない利用者は被害を受けていないと明記している
  • 今回のインシデントを受け、セキュリティと透明性の強化 を引き続き最優先課題としている

最近のセキュリティ事故の概要

  • 2025年11月8日、Mixpanelは スミッシングキャンペーン（smishing campaign） を検知し、直ちに インシデント対応プロセス を起動した
    • 不正アクセスを遮断し、影響を受けたユーザーアカウントを保護するための措置を実施
    • 外部の サイバーセキュリティパートナー を参画させ、事故の復旧と対応を進めた
  • Mixpanelはすべての 影響を受けた顧客に直接連絡 しており、連絡を受けていない顧客には被害がないと明記している
  • 同社はセキュリティを 中核的価値 と位置づけており、顧客支援と透明性のあるコミュニケーションを継続すると述べている

対応措置の詳細

  • 影響を受けたアカウントの保護 およびすべての アクティブセッションとログインの失効
  • 侵害された認証情報の差し替え および 悪意あるIPアドレスの遮断
  • IOC（Indicators of Compromise） を SIEMプラットフォーム に登録し、脅威検知を強化
  • 全従業員のパスワード全面リセット を実施
  • 外部フォレンジック企業 を起用し、事故原因の分析と遮断措置に関する助言を実施
  • 認証・セッション・データエクスポートログ に対するフォレンジックレビューを実施
  • 今後の類似活動を検知・遮断するため、追加のセキュリティ統制 を導入
  • 法執行機関および外部セキュリティアドバイザリー と連携

顧客への案内

  • Mixpanelから連絡を受けた顧客には、アカウント保護措置および次のステップ が案内される
  • 連絡を受けていない顧客は 追加対応は不要 であり、アカウントは影響を受けていない
  • 問い合わせは support@mixpanel.com で受け付けている

会社の立場

  • Mixpanelは今回のインシデントを受け、セキュリティ強化と透明性のあるコミュニケーション を改めて確認した
  • 顧客データの保護を 製品とサービスの中核原則 として維持していく
  • 今後も セキュリティインシデント対応体制の改善 と 外部連携の拡大 を継続する計画だ

関連記事

1件のコメント

 
GN⁺ 2025-11-29
Hacker Newsの意見

  • この記事の表現の仕方が本当に気に入らない
    どのシステムがアクセスされたのか、どの情報が露出したのか、そしてどれほど「積極的に」対応したのかについての具体的な数値や時系列がまったくない
    記事の引用文を見ると「Mixpanelがスミッシングキャンペーンを検知した」とあるが、誰が対象だったのかや規模は不明だ
    「不正アクセスを遮断し、セキュリティ対策を講じた」とあるので、明らかに侵害はあったはずだが、どのアカウントやシステムだったのかは言及がない
    「全従業員のパスワードをリセット」したというのは、内部認証情報漏えいの可能性を想定していたことを意味するように見える

    • 「家族の事故」を「最近の家族の出来事」と表現するようなもので、この文章の曖昧で防御的なトーンは不快だ
      「透明性のために共有する」という文も、まるで「善意のジェスチャーとして返金します」と言うような非人間的な謝罪文に聞こえる
    • 同じ件に関するOpenAIの告知のほうが、はるかに明確で信頼感があった
    • OpenAIが事実上先に公開したことで、Mixpanelがやむを得ず後追いで公表したのではないかという疑問が湧く
    • 感謝祭当日に発表したのも、意図的なタイミングに見える
    • 私も前日にOpenAI側から、もっと情報量の多い告知を受け取った

  • Mixpanelの文章はOpenAIの告知よりもずっと不十分で不透明に感じられる
    Mixpanelのほうがより多くの情報を持っているはずなのに、公開した内容ははるかに少ない
    これは会社の信頼性に大きな打撃を与えることだ

    • 結局OpenAIはMixpanelをベンダーから外した
      「セキュリティとプライバシー基準を満たさなかったためMixpanelの利用を停止した」という文言は非常に強いメッセージだ
    • Cointrackerもほぼ同じ時刻に似たメールを送ったらしい。おそらく共通テンプレートを使ったのだろう

  • Mixpanelが事案を認識したのは11月8日なのに、感謝祭前日になってようやく発表したのは残念だ

    • これはGDPRの72時間通知規定に違反しているように見える

  • Mixpanelの告知は混乱を招く
    すでにアカウントを閉じていたのに「セキュリティ事故に関するメール」を受け取った
    閉じたアカウントが影響を受けたのかどうか分からない

    • アカウントを閉じたからといって、データが即座に削除されるわけではない
      メールを受け取ったなら、データがまだ残っていた可能性が高い
    • メールを受け取ったからといって、必ずしも影響を受けたとは限らない
      Mixpanelは「影響を受けた顧客には個別に連絡した」としているので、別途通知がなければ安全だったと解釈すべきだ
    • ヨーロッパ居住者なら、アカウント終了後にデータを削除していなかった点について、GDPRの『忘れられる権利』違反として提訴することもできる

  • OpenAIがMixpanelを使っていたという理由で株価が上がるのかという冗談が出るほどだ

    • ただしOpenAI FAQによれば、すでにMixpanelを削除したと明記されている
    • ユーザーに送ったメールでも、OpenAIがもはやMixpanelを使っていないことを明確にしている

  • Mixpanelの文章は危機対応の悪い見本として教科書に載せられそうだ
    OpenAIの告知のほうが、むしろMixpanelより事件をうまく要約している
    「パートナーのセキュリティ基準を満たさなかったためMixpanelの利用を終了した」という文は、ベンダーに対する公然たる不信任表明だ

  • 「スミッシング(smishing)」という用語を初めて聞いた
    SMSを利用したフィッシング攻撃で、テキストメッセージを通じて個人情報を盗み取る手口だ

    • 実例としては、「OpenAIのJoshだけど、2FAを切ってもらえる？ 海外にいて認証が難しい」といったソーシャルエンジニアリング的なメッセージがある

  • 今回の件は、「ベンダーこそが攻撃対象領域」という2025年のセキュリティ教訓を示している
    信頼していたベンダーが破られれば、その顧客データまで連鎖的に露出する
    機微な作業であるほど、第三者と共有するデータを最小化しなければならない
    「信頼しつつ検証せよ」という古いモデルではなく、今や「検証するか、共有しないか」というアプローチが必要だ

  • 記事タイトルは「侵害(breach)」となっているが、原文ではその単語を使っていない

    • 「セキュリティ事故(security incident)」は法務助言を経た婉曲表現にすぎず、「不正アクセスを遮断した」という文の時点で、すでに侵害があったことが分かる
    • 参考までにOpenAIの告知とCoinTrackerの告知を見ると、ユーザー名・メールアドレス・位置情報が露出したと明記されている
    • Mixpanelの文章は回避的な表現で満ちているが、実質的には明白な侵害だ

  • このような重要情報を祝日連休の直前に公開したのは、タイミングとして非常に計算された選択に見える