たった1件の認証情報流出で顧客情報に漏えいのおそれ　セキュリティ企業の開発基盤で

　サイバーセキュリティクラウドは11月12日、ソフトウェア開発に利用しているGitHub上の同社管理領域に不審なアクセスがあり、保存されていた個人情報に漏えいのおそれがあると発表した。GitHubは、ソフトウェアのプログラムや開発に関連する情報を管理するサービスだ。外部機関からの情報提供により、従業員が業務で使っていたGitHubの認証情報1件が外部に流出していたことが判明したという。

　同社がGitHubのアクセスログを調べたところ、この認証情報を使った第三者によるとみられる不審なアクセスが過去にあったことを、11月5日に確認した。ただし、確認できるログの対象期間や記録内容には制約があり、認証情報が有効だった期間全体のアクセス状況までは把握できていないとしている。

　漏えいのおそれがあるのは、一部の顧客に関する情報（企業名、氏名、メールアドレスなど）と、サービス利用に伴う通信関連情報。第三者によって閲覧・取得された可能性を否定できないという。対象となる範囲や人数は調査中で、対象と確認できた顧客には順次案内する。顧客から取り扱いの委託を受けている個人情報については、委託元の顧客と連携して本人への通知などを進める。

　現時点で、本件に起因するサービスへの不正アクセスや不正な操作、二次被害は確認されていない。サービスの提供やセキュリティ機能への影響も確認されておらず、各サービスは通常どおり提供を続けている。認証情報が流出した原因や経路は調査中だ。

　同社は被害の拡大を防ぐため、流出した認証情報の無効化、GitHub上に保存されていた他サービスの各種認証情報の確認と変更、認証情報やアクセス権限の見直し、関係する開発端末の隔離とアカウントの利用停止を実施した。現在は、アクセスログの調査、外部専門機関とのフォレンジック調査、漏えいのおそれがある情報の特定、認証情報の管理体制の見直しを進めている。

　個人情報保護委員会をはじめとする関係機関には報告済み。委託元の顧客が同委員会へ報告する手続きについては、連名報告を含む方法を相談中で、詳細が決まり次第案内するという。同社は本件を重く受け止め、再発防止に取り組むとしている。