ダウゾーン・ビズオンで侵害事故が2件、政府が「重大事故」と判断し官民合同調査団を設置

入り口は2か所でした

10月15日、身元不明の外部者が従業員のVPNアカウントから社内システムに入り、データを閲覧した形跡が確認されたと会社は説明しています。同社は16日に政府へ届け出て、18日にお知らせを掲載しました。

21日には2件目が届け出られました。「APOバックアップサービス」のバックアップサーバーから暗号化されたデータの一部が持ち出された形跡があり、会社は23日に公表しました。

原因はバックアップソフトの脆弱性かもしれません

同社は、バックアップソリューション提供元のAhsayに確認したところ、バックアップサーバーの脆弱性が悪用された可能性があると説明しました。ゼロデイ攻撃とみているとのことですが、これは会社側の説明で、調査団が確かめる部分です。

流出した可能性のある情報

会社が見ているのは顧客企業の従業員情報です。1件目の告知では、氏名、住民登録番号の下6桁(暗号化)、口座番号(暗号化)、住所、携帯電話番号、メールアドレスが可能性のある項目として挙げられています。

ただ、実際に何がどれだけ出たかは特定されておらず、影響を受けた顧客企業や人数も公表されていません。

政府が「重大」と呼ぶ理由

同省は25日に侵害事故調査審議委員会を緊急開催し、顧客企業へ被害が広がりうるとして重大事故と判断しました。調査団は情報保護ネットワーク政策官が団長を務め、KISAと民間専門家が参加し、結果は公表する方針です。

ダウゾーンは、問題のVPNアカウントと機能、海外IPを遮断し、被害を受けたサーバーを停止したと述べています。

勤務先がダウゾーンを使っているなら

会社は、ダウゾーンや公的機関をかたって個人情報や金融情報を尋ねる電話・SMSに注意するよう呼びかけています。パスワード、認証番号、口座番号をSMSや電話で求めることはないとのことです。調査結果が出るまでは、まず公式のお知らせを確認してください。