[ITmedia News] アクセスキー直書き→委託先がテスト用イメージをネット公開 「ラフールサーベイ」約2.4万人の情報漏えい

著者 岡田有花

[ITmedia]

　組織改善ツール「ラフールサーベイ」を提供するラフールは11月9日、同サービスの旧システムが7月から10月にかけて不正アクセスを受け、利用企業182社の従業員2万4232人分の氏名などの個人情報を第三者に取得されたと発表した。7月30日に新システムへ移行した後も、旧システムから情報が不正取得されていた。

　同社のエンジニアがアクセスキーをプログラムに書き込んでいた上、2019年には開発委託先の開発者が、このプログラムを含むテスト用の実行環境イメージをネット公開していた。これにより、第三者がアクセスキーを入手したことが不正アクセスの原因だと推定している。

原因

氏名や部署、ストレスチェックの結果など漏えい

　ラフールサーベイは、従業員が設問に回答し、企業が職場の人間関係、離職リスク、従業員のメンタル・フィジカルの状態などを分析するツール。

　取得された主な項目は、従業員番号、氏名、所属部署、サーベイの回答と結果。一部の人は、ストレスチェックの結果・回答や、医師による面談・面接指導の記録（要配慮個人情報）も含む。

取得された情報

　住所、電話番号、パスワードの漏えいは、現時点では確認していない。

アクセスキーをハードコード→委託先がネット公開

　旧システムでは、同社のエンジニアがアクセスキーをプログラムの中に書き込んでいたという。2019年、このプログラムを含むテスト用の実行環境のイメージが委託先の開発者によってインターネット上で公開され、第三者がアクセスキーを入手した、と同社は推定している。

　イメージを公開したのは、当時の開発委託先だったフランジア（現Sun Asterisk）の開発者だが、ラフールは「委託元である当社の管理も十分ではなかった」と述べている。

　現行システムは旧システムとは別のクラウド上の管理単位で運用しており、今回不正に使用されたアクセスキーでは接続できない。

新システム移行3カ月後に旧システムへの不正アクセス発見

　10月27日、同社のエンジニアがログ確認中、旧システムへの不正アクセスの疑いを発見。同日中に不正に使用されたアクセスキーを無効化した。28日、不正アクセスに使われた海外のIPアドレスからの通信を遮断した。

経緯

　攻撃者が7月24日から10月25日までの間に、旧システムのファイル保管領域から不正にファイルを取得していたことが10月29日に発覚。うち7月24日と8月8日に、個人情報を含むファイルが取得されていた。

現行システムはハードコード廃止、認証情報は短時間で無効に

　現行システムでは、プログラム内にアクセスキーを直接記載する方式は廃止し、短時間で自動的に無効になる一時的な認証情報を使う方式に切り替えた。11月4日には現行システムの設定とアクセスの記録を確認し、攻撃元によるアクセスや操作の記録がないことを確かめた。

　今後、外部の調査機関に調査を依頼し、その結果を踏まえて再発防止策を講じる。

Copyright © ITmedia, Inc. All Rights Reserved.
本記事は制作段階でChatGPT等の生成系AIサービスを利用していますが、文責は編集部に帰属します。