スウェーデンの主要サプライヤーで大規模データ侵害
スウェーデンのITシステムサプライヤーであるMiljödataがサイバー攻撃を受け、最大150万人の個人情報が流出したことが明らかになりました。スウェーデン個人情報保護庁（IMY）が現在、この事件の調査を進めています。
事件の詳細
Miljödataは、スウェーデンの自治体の約80%にITシステムを提供している主要なサプライヤーです。同社は8月25日にインシデントを公表し、攻撃者がデータを盗み出し、漏洩しないことと引き換えに1.5ビットコインを要求したことを明らかにしました。この攻撃により、ハッランド、ゴットランド、シェレフテオ、カルマル、カールスタッド、ムンステロースなど、国内の複数の地域で運用上の混乱が発生しました。
BleepingComputerの調査によると、脅威グループDatacarryが9月13日にダークウェブポータルで盗まれたデータを公開しました。Datacarryは、Miljödataから盗まれたとされる224MBのアーカイブを提供しています。
影響と調査
IMYによると、攻撃者は国内の150万人に相当するデータをダークウェブに公開しており、これは一般データ保護規則（GDPR）違反の可能性を調査する根拠となっています。IMYの責任者であるジェニー・ボード氏は、「Miljödataの漏洩は、スウェーデン人口の大部分の個人データ、多くの場合、機密情報までもがダークネットに公開されたことを意味します」と述べています。
この広範な影響を鑑み、IMYは調査対象をMiljödata、ヨーテボリ市、エルムフルト市、ヴェストマンランド地域に絞り、優先的に調査を進めています。Miljödataはセキュリティ対策に関して、各自治体はデータ処理慣行、特に子供のデータ、保護対象者の情報、元従業員のデータに焦点を当てて調査されます。
流出した個人情報
データ侵害通知サービス「Have I Been Pwned」は、流出したMiljödataの情報をデータベースに追加しました。これには、氏名、メールアドレス、住所、電話番号、政府発行のID、生年月日が含まれています。Have I Been Pwnedの報告では、流出したデータは87万人に相当するとされており、IMYが提供した数字の約半分となっています。
セキュリティの教訓
IMYは、「私たちの主な焦点は、同様の事件が再び発生するリスクを減らすために、将来の教訓となる可能性のある欠陥を調査することです」と強調しています。この事件は、ITシステムサプライヤーおよび自治体におけるデータセキュリティ対策の重要性を改めて浮き彫りにしています。