セキュリティ企業Comparitechの調査チームが、Microsoftのカスタマーサービス＆サポート(CSS)の記録およそ2億5000万件がウェブ上に公開されていたと報告しました。すべてのデータはパスワードやその他の認証なしでウェブブラウザからアクセス可能な状態だったとのことです。

セキュリティ研究者であるボブ・ディアチェンコ氏の率いる調査チームによれば、2019年12月28日にインターネットをスキャンして流出したデータを検索できるBinaryEdgeで、Elasticsearchの公開サーバー5つがインデックス付けされたとのこと。

これらサーバーを確認したところ、MicrosoftのCSSのクライアントとの会話ログ、クライアントのメールアドレスや契約番号、支払い情報、IPアドレス、場所、内部メモといった個人情報を含んだ14年間にわたる記録が含まれていたことが判明しました。

ディアチェンコ氏がすぐさまMicrosoftに連絡した結果、24時間以内に公開されていたサーバーとデータが保護されたとのこと。ディアチェンコ氏は「大みそかにもかかわらず、Microsoftのサポートチームが迅速に対応してくれたことを称賛します」とコメントしています。

個人情報を含むサーバーが公開設定になっていた原因について、Microsoftは「2019年12月5日に行われたデータベースのネットワークセキュリティグループの変更で、誤った構成のセキュリティルールが含まれていたため」と語っています。Microsoftは「残念ながら、サーバーの誤設定は業界全体でも一般的なエラーです。この種の間違いを防ぐための解決策はありますが、残念ながらこのデータベースでは有効になっていませんでした。すでに説明したように、独自の構成を定期的に確認し、利用可能なすべての保護機能を活用することをお勧めします」というコメントを発表しています。

Comparitechの技術者であるポール・ビショフ氏は「もしデータが保護される前に詐欺師がアクセスしてしまっていた場合、フィッシング詐欺につながるだけではなく、Microsoftや他企業のコールセンターのエージェントになりすまして被害者のマシンにマルウェアを仕込んだりデータを盗み出したりするような詐欺も起こり得ます」と注意を促しています。
https://gigazine.net/news/20200123-microsoft-css-data-leak/