【ACT7日】　　　100万人を超える学生、保護者、教師が、大規模なサイバー攻撃により個人情報を流出させる被害を受けた。学校で利用されているオンライン数学学習プラットフォーム「マススペース」の内部システムがハッカーに侵入され、オーストラリアとニュージーランドの学生、保護者、後見人、教師あわせて107万9819人が大規模な情報漏えいの影響を受けた。

マススペースは、学校が授業の実施や課題の配布、生徒の学習進捗の管理に利用しているオンライン数学学習サービスだ。同社によると、8月10日から8月27日にかけて、セキュリティパッチが適用されていなかった期間に「権限のない第三者」が内部のレポートシステムへアクセスし、情報を取得した。

最高技術責任者のアルビン・サボイ氏はブログで、流出した情報には氏名、ユーザー名、メールアドレスなどのアカウント情報が含まれていると明らかにした。ただし、すべての利用者が同じ種類の情報を流出されたわけではないとしている。流出した可能性がある情報には、ユーザーID、ユーザー名、姓・名、メールアドレス、国、タイムゾーン、ユーザー種別、メールアドレス認証状況、最終利用日、最終ログイン日、アカウント作成日などが含まれる。

一方で、より機密性の高い情報は流出していないとしている。学業成績、学習履歴、テスト結果、評価記録、パスワードのハッシュ値、認証トークン、シングルサインオン（SSO）の認証情報、API認証情報などにはアクセスされていないことを確認した。

サボイ氏は、「流出したデータには、利用者アカウントと所属学校を直接結び付ける記録は含まれていない。しかし、学校のメールアドレスのドメインから所属校を推測できる場合があることは認識している」と述べた。同社は、攻撃者の正体は現時点で判明しておらず、流出した情報が公開・共有・売買された証拠も今のところ確認されていないとしている。

しかし、限られた個人情報であっても深刻なリスクにつながる可能性があると警告している。「氏名、メールアドレス、アカウント情報があれば、なりすまし詐欺はより巧妙になる」とサボイ氏は述べた。「マススペースや学校、あるいは利用者が知っている組織から送られたように見せかけたメッセージが送られてくる可能性がある」影響を受けた人には、特にパスワードやログイン情報、認証コードの入力を求める予期しないメールやメッセージに注意するよう呼びかけている。

また、メッセージが本物かどうか不明な場合は、公式ウェブサイトに掲載されている連絡先を通じて直接問い合わせるよう勧めている。さらに、「不審なアカウント利用や、身に覚えのないパスワードリセットメール、アカウント情報の変更通知にも注意してほしい」とサボイ氏は述べた。マススペースで使用していたパスワードを他のサービスでも使い回している場合は、他サービス側のパスワードも変更し、それぞれ異なるものにするよう呼びかけている。

同社は、オーストラリアとニュージーランドの学校、サイバーセキュリティ当局、教育当局にはすでに報告済みであり、現在、影響を受けた利用者への個別連絡を進めている。自分の情報が流出したか確認したい人は、マススペースへ直接問い合わせることができる。

今回侵害された内部レポートサービスは、すでに停止された。

サイバーセキュリティ企業Arctic Wolfのアジア太平洋地域（APAC）エンジニアリング責任者、スティーブ・ハンター氏は、今回の事案はソフトウェアの脆弱性への対応がいかに難しいかを示していると指摘した。「新たな脆弱性が見つかるたびに場当たり的に対応するのではなく、組織はリスクを基準としたアプローチを取る必要がある」とハンター氏は述べた。

ソース：news.com.au – More than one million affected in major Mathspace data breach across Australia and New Zealand