Astemo（アステモ）は10月16日、同社が利用するデータ共有クラウド環境に第三者による不正アクセスが発生し、保有するデータの一部が外部に流出したことを確認したと発表した。
◆不正アクセスの経緯
同社のデータ共有クラウド環境へのアクセス権限を持つ業務委託会社の従業員アカウントが第三者に侵害されたことが判明した。アクセスログ等の分析により、当該アカウントを通じて不正アクセスが行われ、データの一部が流出したことが確認されている。
9月2日頃、対象アカウントで委託会社システムへのログイン異常と、従業員本人の操作によらない多要素認証通知が発生していたことも判明した。
9月17日には、データを取得したと主張する第三者から複数の従業員宛てにデータ公開を示唆する連絡があり、Astemoは重大なセキュリティインシデントとして認識し、外部のセキュリティ専門機関と連携して初動対応と調査を開始した。
9月22日には第三者が運営する外部サイトにAstemoを標的にした旨の主張が掲載されていることを確認。9月24日には不審なダウンロードと使用されたアカウントを特定し、委託会社に調査を依頼。10月初旬に委託会社からアカウントが侵害された旨の連絡を受け、情報流出を確認した。
なお、現時点の調査では、社内ネットワークや端末への侵害、またはランサムウェア感染を示す証跡は確認されていない。
◆流出した情報と影響範囲
流出したデータには、同社従業員、仕入先関係者、外部協力会社関係者等に関する個人情報約350名分が含まれていることが確認されている。流出が確認されている情報は、氏名・メールアドレス・電話番号・所属等の業務上の連絡先情報等だ。
一方、顧客関係者および消費者の個人情報は含まれていなかったことも確認されている。現時点で流出データの悪用による二次被害の報告は受けていないとしている。
事業活動への重大な影響も現時点では確認されていないが、製品の安全性や業績への影響については引き続き確認を進めている。
Astemoはこれまでに、社内緊急対応チームの設置、侵害されたアカウントを含む本件委託会社が利用する全アカウントの停止、外部セキュリティ専門機関との連携による調査、関係当局および警察への報告・相談などを実施した。
今後は調査結果を踏まえ、アカウントおよびアクセス権限の管理、異常なアクセスの監視、業務委託先を含む情報管理体制の見直し等、必要な再発防止策を講じるとしている。新たに公表すべき事項が判明した場合には速やかに知らせるとしている。
