マイクロソフトの情報漏洩は111カ国6万5000社に影響した可能性がある

知っておくべきこと

• マイクロソフトは、SOCRadarのセキュリティ研究者から、エンドポイントの設定ミスにより顧客情報が漏洩したという警告を受けました。マイクロソフトは、顧客データの保護のため、迅速にミスを修正しました。
• マイクロソフトは影響を受けた人数を明らかにしなかったが、SOCRadar の研究者は、111 か国にわたる 65,000 の組織のデータが侵害された可能性があると主張した。侵害されたデータには、名前、電話番号、電子メール アドレスとその内容、会社名、概念実証文書、販売データ、製品注文などの会社の機密情報を含む添付ファイルが含まれている。 
• マイクロソフトはSOCRadarの主張に異議を唱え、研究者らの推定は誇張しすぎていると反論した。また、SOCRadarがBlueBleedツールを使用してサーバーをクロールし、セキュリティ上の欠陥や侵害によって漏洩した可能性のある情報を特定したことにも異議を唱えた。 
• SOCRadarの幹部は、同社が入手したデータは一切保管しておらず、ツールがアクセスした可能性のあるデータはすべて削除したと述べた。SOCRadarは、マイクロソフトによる非難に対し「失望」を表明した。 

マイクロソフトは、システムの設定ミスにより顧客データが漏洩した可能性があることを認めた。同社は、この単発的なインシデントについてSOCRadarの研究者から報告を受けたと明らかにしたが、両社は影響を受けたユーザー数や、将来的に侵害や漏洩に遭遇した際にサイバーセキュリティ研究者が取るべきベストプラクティスについて依然として意見の相違がある。 

「SOCRadarのセキュリティ研究者は、2022年9月24日にMicrosoftエンドポイントの設定ミスについてMicrosoftに報告しました」と、Microsoftは詳細なセキュリティ対応ブログ記事で述べています。「この設定ミスにより、Microsoftと見込み顧客とのやり取り（Microsoftサービスの計画、導入、提供の可能性など）に対応する一部のビジネス取引データへの認証されていないアクセスが可能になる可能性がありました。」

同社は、今回の侵害によって漏洩した可能性のある情報には、氏名、メールアドレス、メールの内容、会社名、電話番号、その他の添付ファイルが含まれると明らかにしたが、影響を受けた組織の数は明らかにしなかった。同社は、セキュリティ上の欠陥を修正する前に、データが不正にアクセスされたとは考えていないと述べた。 

マイクロソフトの調査で顧客のアカウントやシステムが侵害されていないことが明らかになったにもかかわらず、Bleeping Computer のレポートによると、マイクロソフトにサーバーの設定ミスを通知した SOCRadar のセキュリティ研究者は、2017 年から 2022 年の間に作成されたファイル データ内の情報を 111 か国の 65,000 の組織に直接リンクすることができたという。

一方、マイクロソフトは、通知を受けてすぐにサーバーのセキュリティを確保し、影響を受ける顧客にデータ漏洩の可能性があることを警告したと主張した。

マイクロソフトは、「2022年9月24日（土）時点でエンドポイントのセキュリティが確保され、必要な認証でのみアクセス可能になったことを確認しました」と述べた。「調査の結果、漏洩したストレージロケーションにセキュリティ侵害の兆候は見つかりませんでした。また、無制限のアクセスによって顧客のアカウントやシステムが侵害されたことはありません。ただし、マイクロソフトに問題を報告した外部のセキュリティ調査会社は、問題の調査・研究の一環としてデータにアクセスしたことを確認しています。」

Microsoft 社も、SOCRadar が問題の範囲を誇張しているとして反論しており、65,000 の組織が影響を受けたという同社の報告が真実であるかどうかは不明だ。 

「データセットの徹底的な調査と分析により、重複した情報、つまり同一のメール、プロジェクト、ユーザーへの複数の参照が見つかりました」とマイクロソフトは述べた。「私たちはこの問題を非常に深刻に受け止めており、SOCRadarが誤りを指摘した後も、この問題に関連する数値を誇張していたことに遺憾の意を表します。」

さらに、マイクロソフトは、SOCRadar の研究者が検索ツールを使用してデータを関連付けるという方法で侵害を発見した方法に問題を感じていました。

「さらに重要なのは、顧客のプライバシーやセキュリティの確保に最善ではなく、不必要なリスクにさらす可能性のある『検索ツール』をSOCRadarが一般公開することを選択したことに失望している」とマイクロソフトは回答の中で付け加えた。 

SOCRadarはBlueBleedツールを使用して侵害されたシステムをクロールし、悪意のある攻撃者が容易に入手・アクセスできる情報を特定します。Bleeping Computerのレポートによると、BlueBleedは335,000件のメール、133,000件のプロジェクト、そして584,000人の無防備なユーザーを含む2.4TBのデータを発見しました。 

近年、マイクロソフトはCEOのサティア・ナデラ氏のリーダーシップの下、データセキュリティとプライバシー対策を事業の中核に据えてきました。そのため、同社がセキュリティ上の欠陥を迅速に修正したことは喜ばしいことです。しかし、SOCRadarが収集できたデータを考慮すると、今回の侵害の深刻度と影響を受けた可能性のある人数について、マイクロソフトからより透明性のある説明が期待されました。SOCRadarの分析によると、収集されたファイルには、概念実証作業、社内コメントや販売戦略、顧客資産文書、製品注文、オファーなどが含まれていました。 

SOCRadarの調査担当副社長エンサ・セカー氏は同誌に対し、BlueBleedの使用を通じてデータが誰とも共有されたことはなく、収集されたデータはすべて削除されたと語った。

「漏洩したデータは当社のものではないため、当社は一切データを保管していない」とセカー氏はBleeping Computerに語り、同社はマイクロソフトの告発に失望していると述べた。 

この潜在的なデータ侵害の影響を受けた場合は、Microsoft から詳細と手順が提供されます。

今年初め、マイクロソフトは他のテクノロジー企業と共に、Lapsus$グループによるサイバーハッキングによる一連の無関係な情報漏洩事件で大きな話題となりました。同社はまた、新たなMicrosoft Security ExpertsプログラムやWindows Defenderツールへのセキュリティインテリジェンスの統合など、サイバーセキュリティへの取り組みと投資を強化しています。 

チュオン氏のガジェットへの情熱は、PDAというありふれた存在から始まりました。それ以来、彼はPocketnow、Digital Trends、Wareable、Paste Magazine、TechRadarといったメディアで、スマートフォンからタブレット、ノートパソコンからデスクトップパソコンまで、あらゆるコンシューマー向けデバイスからエンタープライズ向けデバイスまで、幅広いデバイスをカバーしてきました。その後、Windows Centralの素晴らしいチームに加わりました。サンフランシスコ・ベイエリアを拠点とする彼は、仕事の合間には、多様で個性的なグルメシーンを探索したり、ワインカントリーへの小旅行に出かけたり、カリフォルニアの海岸沿いで日光浴をしたり、ニュースを読んだり、新しいハイキングコースを探したりすることを楽しんでいます。