ヴァージン・メディア、マーケティング用データベースを10か月間放置 ― 90万人分が露出

英国最大級のケーブル・通信事業者の一つであるヴァージン・メディアは、不正アクセスが可能な状態に誤って設定されたマーケティング用データベースを保持していた。この設定ミスは約10か月間にわたり発見されなかった。2020年3月、同社は約90万人が影響を受けたと公表した。これには固定回線の顧客が含まれ、その顧客基盤の約15%に相当する。

露出したデータは連絡先情報であり、氏名、自宅住所、メールアドレス、電話番号であった。ヴァージン・メディアは、データベースにはパスワードも、クレジットカード番号や銀行口座番号といった金融情報も含まれていなかったと述べた。同社は問題を認識するとデータベースへのアクセスを遮断し、情報コミッショナー事務局（ICO）に最新情報を提供し続けたと述べた。

この事例は大規模漏えいに比べれば小さいが、その仕組みはよくあるものだ。データベースはハッキングされたというより、開放されたままになっていた。設定ミスが1年の大半にわたり監視されずに放置され、「設定」と「確認」の間の空白が、100万人近い顧客の個人情報の露出となった。

この漏えいはハッキングではなく、監視されていない設定ミスであった。対処はアクセスの遮断であったが、代償は100万人近い顧客のデータの露出であった。

マーケティング用データベースが誤って設定され、認証なしで到達できる状態になっていた。

この設定ミスは約10か月間にわたり検知されず、誰かが確認するまでの露出期間は長かった。

データベースには約90万人の連絡先情報、すなわち氏名、自宅住所、メールアドレス、電話番号が保持されていた。

監視やアクセスレビューによって開放状態のデータベースが発見されることはなかった。失敗は確認の欠如であり、高度な攻撃ではなかった。

顧客データには、それを確認する責任者が不可欠だ。ヴァージン・メディアのマーケティング用データベースは、誰かが気づくまで10か月間にわたり設定を誤ったまま放置されていた。漏えいとは「設定」と「監視」の間の空白そのものであった。

ヴァージン・メディアはデータベースへのアクセスを遮断し、影響を受けた顧客に連絡し、英国の情報コミッショナー事務局（ICO）に最新情報を提供し続けた。金融情報やパスワードが露出しなかったため、顧客への直接的な被害は限定的であったが、この事件はデータ漏えいが通常どのように起きるかを示す教科書的な例として挙げられている。すなわち、巧妙な侵入によるのではなく、誰も監視していない設定ミスのあるシステムによるものである。