[ITmedia News] 自社の認証情報で生成AI不正利用される ネット印刷・キングプリンターズへの不正アクセス、個人情報漏えいなし

著者 岡田有花

[ITmedia]

　ネット印刷通販のキングプリンターズは11月9日、9月10日に検知した不正アクセスで、攻撃者が同社のシステム基盤の認証情報を不正に使い、生成AIサービスを大量に呼び出していたとする調査結果を発表した。

　不正利用は約7時間続き、AIサービス側が利用制限を適用したことで止まったという。攻撃者が顧客の情報を扱うシステムにアクセスしようとした痕跡はなく、データの改ざんや窃取の形跡もなかったという。

11月9日の最終報より。「攻撃者は複数のIPアドレスから、AIサービスへの大量の呼び出しを試みましたが、同日13:44にサービス側による利用制限が適用されたことで、不正利用は停止いたしました」

9月25日の第2報では「当社が保有する認証情報を用いた生成AIサービスの不正利用が目的と見られます」と記載していた

　攻撃者は9月10日午前6時51分以降、複数のIPアドレスからAIサービスを大量に呼び出そうとしていたが、午後1時44分にサービス側が利用制限を適用したことで止まった。攻撃者は新たな認証情報も作成していた。

　同社は発生当日に不正利用された認証情報を削除し、攻撃者が作成した新規の認証情報も削除した。

攻撃者による情報取得のログなし

　外部専門機関によるフォレンジック調査の結果、攻撃者が顧客の情報を扱うシステムにアクセスしようとした痕跡や、情報を取得したログはなく、顧客の個人情報や注文データ、機密情報の外部漏えいは確認していない。

　データベースやサーバ基盤などへのアクセスや操作の履歴もなく、データの改ざんや窃取の形跡も見つからなかった。攻撃者と疑われるIPアドレスへのデータ送信も確認していない。

　再発防止のため、システム基盤の認証で静的な認証情報の運用をやめ、一時的な認証情報を必要なタイミングで発行する方法に統一する。管理下のクラウド環境では認証情報を棚卸しし、不要なキーを削除するとともに、職務に応じた最小限のアクセス権限に設計し直す。

Copyright © ITmedia, Inc. All Rights Reserved.
本記事は制作段階でChatGPT等の生成系AIサービスを利用していますが、文責は編集部に帰属します。