米自動車保険大手アシュアランス・アメリカが、約690万人分の個人情報が流出したと明らかにしました。運転免許証番号を含む機密情報が盗まれており、今年報告された中では米国最大級の免許情報流出とされます。従業員の認証情報が悪用された不正侵入が原因でした。
被害は699万人に
アトランタに拠点を置く同社は、影響を受けた個人への通知を開始しました。流出した情報には、氏名や連絡先、自動車保険の契約・口座情報、運転者や車両の情報、保険金請求に関する情報に加え、運転免許証番号が含まれます。免許証番号は本人確認に広く使われるため、なりすまし被害につながる恐れがあります。
フィッシングで従業員の認証情報を悪用
同社によると、ネットワーク上の不審な活動を検知したのは3月17日でした。外部の専門家による調査の結果、攻撃者が3月16日に従業員の認証情報を盗み、社内システムの一部にアクセスしてデータを複製していたことが判明しています。認証情報は、なりすましメールなどで盗み取る手口によって奪われたとみられます。盗まれたファイルの精査は6月15日に完了し、その後、通知が始まりました。
集団訴訟の動きも
同社は、盗まれた認証情報を無効化し、不正なセッションを遮断、影響を受けたシステムを隔離したうえで、当局への通報やパスワードの再設定、監視強化などの対策を講じたとしています。一方で、被害者を代理する集団訴訟の調査も始まっており、企業側の管理責任が問われる可能性があります。
日本への影響
今回の流出は米国の事案ですが、従業員一人の認証情報が盗まれただけで数百万人規模の被害に発展した点は、日本企業にとっても重い教訓となります。日本でもアフラック日本法人やKDDIなどで大規模な情報流出が相次いでおり、なりすましメールによる認証情報の窃取は他人事ではありません。企業は多要素認証の導入や、従業員への訓練を通じて、入り口となる「人」の対策を強化する必要があります。
個人にとっては、免許証番号のような本人確認に使われる情報が流出すると、口座の不正開設やなりすましの被害に直結する危険があります。日本の読者も、身に覚えのない通知や不審なメールには安易にリンクをクリックせず、パスワードの使い回しをやめ、二要素認証を有効にしておくといった基本的な備えが欠かせません。自らの情報は自ら守るという意識が、いっそう重要になっています。
まとめ：たった一人の認証情報から690万人分が流出しました。企業も個人も、なりすまし対策の基本を今こそ徹底したいものです。
出典:
BleepingComputer – AssuranceAmerica data breach
CyberInsider – AssuranceAmerica exposed 7 million
Security Affairs – AssuranceAmerica breach
