Careemの急速な成長により、1400万人のユーザーのデータがハッカーに露出した

Careemは中東におけるUberの対抗馬だった。ドバイを拠点とする配車アプリで、湾岸諸国から北アフリカ、パキスタン、トルコに至る十数か国以上で急速に成長していた。他のプラットフォームと同様、何百万人もの顧客と、彼らにサービスを提供する運転手の個人データを保有していた。

2018年1月14日、Careemは自社のシステムが侵害されたことを検知した。ハッカーは約1400万人分のアカウントデータにアクセスしていた。乗客と運転手の双方であり、氏名、メールアドレス、電話番号、乗車記録が取得された。これは同地域で報告された最大規模のデータ侵害の一つだった。

Careemは侵害を直ちに公表しなかった。検知からおよそ3か月後の2018年4月23日に公表し、調査に時間が必要だったこと、法執行機関やセキュリティの専門家と協力したことを述べた。この間隔は、企業がユーザーにどれだけ迅速に知らせるべきかという、いつもの疑問を呼び起こした。

この事例は、急成長するプラットフォームが何よりもまずデータの標的になることを思い起こさせる。Careemは都市とユーザーの追加に奔走し、その成長に伴う個人情報が攻撃者にとっての資産となった。教訓は、セキュリティはユーザー基盤と同じ速さで拡張されなければならず、開示のタイミング自体が対応の一部であるということだ。

Careemは都市とユーザーの追加に奔走し、防御を強化するよりも速く個人データを蓄積し、侵害を検知してから3か月間、開示を遅らせた。

Careemの多くの国にわたる急速な拡大は、攻撃者に対する防御が強化されるよりも速く、何百万人もの乗客と運転手の個人データを蓄積した。

配車プラットフォームは格好の標的である。地理的に広く分散した大規模なユーザー基盤の氏名、連絡先、移動データを一か所に保有しているからだ。

侵害は1月に検知されたが、公表されたのは4月のみであり、影響を受けたユーザーが自分のデータが取得されたことを知らない3か月間の空白が生じた。

乗客と運転手の双方のデータを保有していたことで露出は倍増し、侵害はプラットフォームの顧客だけでなく、プラットフォームを通じて生計を立てる人々にも及んだ。

ユーザーの追加に奔走するプラットフォームは、事業と同じ速さで標的を築いている。個人データは成長のペースで保護されなければならず、侵害された際にはユーザーに速やかに知らせることが対応の一部である。

Careemは事業を継続し、後にUberに買収され、同地域におけるUberの事業の中核となった。この侵害は、新興市場の高成長テクノロジー企業におけるデータセキュリティの議論で言及されている。そこでは、ユーザー数が、本来伴うべきセキュリティと開示の慣行を上回ることがある。