BackNine、71万1000件の保険ファイルをAmazonのクラウド上に公開したまま放置し、警告を無視

TechCrunchは2021年7月16日、カリフォルニア州の保険テクノロジー新興企業BackNineが、設定を誤ったAmazonのストレージバケットを通じて誰でも同社の71万1000件のファイルにアクセスできる状態になっていたと報じた。BackNineは生命保険や障害保険を販売する保険会社向けのバックオフィスソフトウェアを開発し、ホワイトラベルの見積フォームを提供している。ファイルには、氏名、住所、電話番号、社会保障番号、診断名、服薬情報、健康質問票、血液検査や心電図などの検査結果、さらに署名の画像を含む記入済みの申請書が含まれていた。データはいずれも暗号化されていなかった。

文書の日付は2015年から報道のあった月にまで及んでいた。セキュリティ研究者のBob Diachenkoは6月初旬に同社へメールを送り、最初の応答を得たもののその後は何も連絡がなく、バケットは公開されたままだった。TechCrunchもBackNineの副社長Reid Tattersallに連絡したが無視された。TechCrunchがTattersallだけにバケット名を伝えてから数分以内に、データはロックダウンされた。

申請書の多くはAIG、TransAmerica、John Hancock、Lincoln Financial Group、Prudentialといった大手保険会社向けのもので、これらの会社はコメントしなかった。BackNineは、州の情報漏えい通知法に基づき当局に通知したかどうか、また影響を受けた個人に通知するかどうかについて回答しなかった。

2015年以降に71万1000件のファイルが露出し、社会保障番号や医療データが含まれていた。影響を受けた人々や当局への通知は確認されていない。

Amazonのバケットはデフォルトで非公開であるため、BackNineの誰かが権限を公開に変更する必要があった。

ファイルは暗号化されずに保存されていたため、公開アクセスは機微な個人情報および医療データへの完全なアクセスを意味した。

同社は研究者による6月初旬の警告に、記者が7月にバケット名を明らかにするまで対応しなかった。

デフォルトで非公開のストレージは、誰かが公開に変更しなければならない。申請者の健康データを公開したままにし、警告した研究者を無視したことで、設定ミスは情報漏えいの失敗へと変わった。

バケットはTechCrunchがTattersallにメールを送ってから数分以内にロックダウンされた。記事公開時点で、BackNineは情報漏えい通知に関するTechCrunchの質問に回答しておらず、TechCrunchはサイバーセキュリティインシデントの開示を怠った企業は厳しい罰則を受ける可能性があると指摘した。