RedDoorzの運営会社、古いアプリにクラウドキーを残し、590万人の顧客データが流出

ホテル予約サイトRedDoorzを運営するシンガポール企業Commeasureは、2020年9月19日、顧客データが流出したことを米国のサイバーセキュリティ企業から知らされた。東南アジアの顧客約590万人分の個人データ（大半はインドネシア出身で、約9,000人はシンガポール出身）には、氏名、連絡先電話番号、メールアドレス、生年月日、暗号化されたアカウントパスワード、予約情報が含まれていた。データはハッカーのフォーラムで販売されていた。マスク処理されたクレジットカード番号はアクセスされなかった。

シンガポールのPDPCは、ハッカーがCommeasureが2015年に作成したAndroidアプリケーションパッケージ（APK）に埋め込まれたAWSアクセスキーを使って、同社のAmazonクラウドデータベースに到達した可能性が高いと認定した。コードにキーを埋め込むことはAWSの助言に反しており、そのキーは誤って「テストキー」と表示され、APKは不要と見なされていたものの、侵害が発覚するまでGoogle Playでダウンロード可能なままだった。

APKは不要と見なされていたため、Commeasureが2019年9月から12月にかけて委託したセキュリティレビューやテストの対象から外れ、キーの発見を防げたはずのセキュリティツールの対象からも外れていた。PDPCはこれを、本番環境のIT資産の棚卸しを怠った過失に起因するとし、レビューも十分に厳格ではなかったと述べた。PDPCは2021年11月11日に発した判断で、Commeasureに7万4,000シンガポールドルの罰金を科した。

約590万人の顧客データが流出。PDPCは2021年11月、PDPAに基づくシンガポール最大のデータ侵害としてCommeasureに7万4,000シンガポールドルの罰金を科した。

AWSアクセスキーがアプリケーションパッケージに直接埋め込まれており、キーをコードに置かないよう求めるAWS自身の助言に反していた。

そのキーは「テストキー」と誤って表示され、無害に見えていた。

APKは不要と見なされていたため、IT資産の棚卸しに含まれず、2019年のセキュリティレビューの対象から除外されていた。

PDPCは、影響を受けたAPKがレビューの対象範囲に一度も入っていなかったため、定期的なセキュリティレビューはこの露出に対して無意味だったと認定した。

忘れられた資産も依然として攻撃対象面である。「不要」とされたアプリやキーがIT資産の棚卸しに含まれていなければ、あらゆるセキュリティレビューの対象外となり、攻撃者は一度見つけるだけでよい。

PDPCは7万4,000シンガポールドルの罰金を設定する際、パンデミックがホスピタリティ業界に与えた苦難と同社の是正措置を考慮した。これは当時施行されていた上限100万シンガポールドルを大きく下回り、2018年の侵害でSingHealthとIHiSに科された合計100万シンガポールドルも下回った。事件後、Commeasureは本番データベースへのアクセスをホワイトリスト登録されたIPアドレスに制限し、開発者ツールに二要素認証を追加した。判断時点で、共同創業者1人と最高技術責任者を除くすべての開発者が同社を去っていた。