「飲酒運転」「ひき逃げ」処分歴まで流出か 日本交通サイバー攻撃、「2.9テラバイト」大量データ窃取の衝撃（2/4 ページ）

日本交通がサイバー攻撃を受け、攻撃グループは2.9テラバイトものデータを窃取したと主張する。流出したとされる情報には、ドライバーの社内記録なども含まれるという。現時点で確認できる事実を追い、浮かび上がるセキュリティと説明責任の課題を検証する。

[岡安太志，ITmedia]

利用客の「行動追跡」も可能に？　データベースバックアップ流出がもたらす二次被害の懸念

　さらに事態の深刻さを物語るのが、データベースそのものが流出した可能性である。

　公開されたとされるリストには、「SQL Server（データベース管理システム）」のバックアップファイルが含まれているとの指摘がある。これが事実であれば、日本交通の業務システムなどを支えていたデータベース情報が持ち出された可能性が考えられる。

　このデータベースが解析された場合、二次被害につながる恐れがある。例えば、タクシー利用客の乗車・降車履歴などが含まれていれば、「いつ、誰が、どこからどこへ移動したか」といった詳細な行動履歴が外部に流出する可能性がある。

　こうした情報は個人にとって機微性の高いプライバシー情報だ。悪意ある第三者に渡れば、個人の行動を追跡されるリスクにもつながりかねない。

　加えて、同社が発行しているタクシーチケットなどの「得意先取引情報」の流出も懸念される。自社だけでなく、顧客や取引先企業のビジネス利用の実態までが外部に露呈する可能性もあるのだ。

ドラレコのパスワードが平文保存？　露呈した運用の穴と問われる初期対応

　なぜ、これほど重要なデータが外部に持ち出される可能性が生じたのか。流出したとされるリストからは、同社のシステム運用における「具体的な脆弱性」も浮かび上がる。

　リストの中には、「ドライブレコーダーのパスワード」がテキストファイルやExcel形式で保存されていたとされるものもある。仮にパスワードが暗号化されず平文で保存されていたのであれば、攻撃者にとって認証情報を容易に取得できる状態だった可能性がある。

ドライブレコーダーのパスワードが流出している可能性

　また、こうした情報が実際に同社の運用環境に存在していたのであれば、同社が登録されているIDやパスワードの大規模な変更を迫られる可能性もある。