FTC、2,400万件の住宅ローン書類が1年間オンラインで露出した後、Ascensionと和解

2022年1月5日、TechCrunchは、FTCがテキサス州を拠点とする住宅ローン・データ分析会社Ascensionとの和解を承認したと報じた。これは、数百万件の機密住宅ローン書類を露出させた2019年のセキュリティ上の不備に関するものである。この露出は、Ascensionが書面文書をコンピューターで読み取り可能なテキストに変換するために雇ったニューヨークのベンダーOpticsMLに起因しており、同社はデータベースをIPアドレスを知る誰にでも開いたままにしていた。

露出したキャッシュには約2,400万件の記録が含まれていた。氏名、生年月日、社会保障番号、銀行口座情報、ローン契約書、信用ファイル、運転免許証番号である。FTCは、6万人以上の米国人が影響を受け、データベースは約1年間にわたって露出し、その間に50回以上アクセスされ、そのほとんどがロシアと中国にあると思われるコンピューターからのものだったと述べた。

2人の委員が公開の場で反対意見を述べた。Rebecca Kelly Slaughterは、訴状は「規則違反のみを主張している」として告発には至っていないと主張し、Rohit Chopraは、和解が「責任ある企業を特定するという点で的を外している」として、Ascensionの親会社であるRocktop PartnersではなくAscensionと和解したことを批判した。FTC委員長のLina Khanは、訴状の後で就任したため参加しなかった。

氏名、SSN、銀行詳細を含む2,400万件の記録が露出。6万人以上の米国人が影響を受けた。データベースは50回以上アクセスされ、そのほとんどがロシアと中国からだった

Ascensionは、ベンダーのデータ保護措置を確保することなく、機密の住宅ローン書類をベンダーに渡した

露出したデータベースはパスワードを必要とせず、約1年間開いたままだった

数十回のアクセス、その多くが海外からのものであったが、何百万人もの米国人の金融生活が露出している間、見過ごされた

ベンダーの開いたデータベースはあなたの侵害である。規制対象データを、セーフガード・ルールを徹底しないまま取引先の連鎖に渡せば、FTC命令で終わる

2022年1月5日時点で、Ascensionは自社およびベンダーのセキュリティ慣行を修正するようFTC命令の下にあり、罰金はなく、FTC内部の批判者は依然として親会社に対する告発を求めていた。