Capgeminiエンジニアの1文字の編集がRazerのデータを流出させ、裁判所が650万ドルを命じた

Razerは2019年、ITコンサルティング会社WhiteSky Labsにデジタルコマースプラットフォームのアップグレードを依頼した。Capgeminiは2020年6月にWhiteSkyを買収し、その義務を引き継いだ。CapgeminiはRazerに対し、ELK Stack（Elasticsearch、Logstash、Kibana）の使用を推奨していた。2020年6月17日または18日、RazerのスタッフがKibanaにログインできなかったため、Capgeminiの従業員がトラブルシューティングを依頼された。Razerによれば、この従業員がセキュリティとアクセスを制御するElasticsearchサーバー上の設定ファイルに「#」コマンドを追加したことで、Kibanaへの認証なしのアクセスが可能になった。

セキュリティ研究者のBob Diachenkoは2020年8月19日にRazerへこの露出を知らせ、後に約10万人の顧客が影響を受けたと推定した。世界中の数千人の顧客の配送・注文詳細が露出したこの侵害は、2020年9月に広く報道された。Razerはカード番号とパスワードは安全だったと述べた。従業員は9月10日に「#」を削除して問題を修正した。

Capgeminiは誤設定を引き起こしたことを否定し、ログインの修正は自社の業務範囲外であり、スタックの保守はRazerが行っていたと主張した。2022年7月の裁判6日目に、従業員は自分が原因だと認めた。2022年12月、Lee Seiu Kin判事は、この作業は契約上の業務範囲内であり、Capgeminiが義務に違反し過失があったと認定し、Razerに650万米ドルを命じた。その大半はRazer.comの逸失利益610万米ドルで、これにフォレンジック費用約6万米ドルと、規制当局への対応に関する弁護士費用約32万米ドルが加わった。

数千人のRazer顧客の配送・注文詳細が流出した。裁判所はRazerに650万米ドル（870万シンガポールドル）を命じ、その大半は610万米ドルの逸失利益だった。

ログイン問題のトラブルシューティングの一環として、Kibanaアプリケーションのアクセス制御を強制する設定がコメントアウトされた。

この変更はベンダーの従業員によって行われ、レビューではどうやら見逃され、露出は数週間にわたって検知されなかった。

Capgeminiは当初責任を否定し、この作業は業務範囲外だと述べたが、裁判で自社の従業員が変更を認めた。

裁判所は、ログイン支援はCapgeminiが合意した業務範囲内だったと認定した。

ログイン問題への迅速な修正が認証を無効にしてしまうことがある。ベンダーには変更レビューが必要であり、顧客にはセキュリティ設定の責任者が誰かを明確にする業務範囲の取り決めが必要だ。

Razerは2022年12月9日に訴訟で勝訴し、シンガポール高等法院から650万米ドルの損害賠償を命じられた。裁判所は、顧客からの問い合わせが、この事件によってRazer.comからの購入意欲が低下したことを示していると認めた。