Dropboxがサイバー攻撃で不正アクセスされる 個人情報漏えいか：セキュリティニュースアラート

Dropboxは、サイバー攻撃者が同社のシステムに侵入し、ユーザーの個人識別情報にアクセスしたと報告した。

[後藤大地，有限会社オングス]

　Dropboxがサイバー攻撃を受け、ユーザーの個人識別情報（PII：Personally Identifiable Information）にアクセスされたことが判明した。攻撃者は2024年4月24日（現地時間、以下同）にシステムに侵入し、認証情報を盗み出したという。

重大なセキュリティ侵害がDropboxを襲う　個人情報漏えいか

　Recorded Futureは2024年5月2日、Dropboxがサイバー攻撃を受けPIIにアクセスされたと報じた。今回の侵害では法的に拘束力のある電子署名を使用して契約を準備、送信、署名、追跡することでワークフローを効率化するサービス「Dropbox Sign」の全ユーザーのアカウント設定や名前、電子メールに攻撃者がアクセスした。一部のユーザーについては電話番号やハッシュ化されたパスワード、APIキー、OAuthトークン、多要素認証に必要情報も流出した。ただし、「今のところ契約書や支払い情報などへのアクセスは確認されていない」とDropboxは主張している。

　Dropboxは法執行機関に通報し、同社が雇用した捜査担当者による捜査が進行している。影響を受けたユーザーには近日中に連絡する予定だとしている。

　Dropboxによると、侵害の影響を受けたユーザーは新しいAPIキーを生成する必要があり、一部の機能が制限される可能性がある。ただし、ビジネス継続のために署名関連の機能は引き続き利用可能で、APIキーのローテーションによって制限が解除される。

　Dropboxは今回の侵害が同社の経営や財務状況に「重大な影響を与えるとは考えていない」としている。ただし、訴訟の可能性や追加の規制監視などのリスクにさらされる可能性があるとRecorded Futureは指摘する。