VirusTotal からリークした個人情報：米国とドイツの諜報機関などの職員 5,600 人が被害

VirusTotal leaked data of 5,600 registered users

2023/07/18 HelpNetSecurity — VirusTotal がデータ流出に見舞われ、登録ユーザー 5,600人の氏名と電子メール・アドレスが流出した。この流出したデータには、米国とドイツの諜報機関などの職員に関する情報も含まれていると報じられている。Google 傘下の VirusTotal は、疑わしいファイルや URL を分析する人気のオンライン・サービスであり、ウイルス対策エンジンや Web サイト・スキャナーを通じて、マルウェアや悪意のあるコンテンツを検出している。

VirusTotal のデータ・リークで悪用可能な情報が流出

Google がドイツの出版社 Der Spiegel に確認したところ、6月末に VirusTotal の顧客の名前と電子メール・アドレスを含むファイルが、従業員により意図せずに VirusTotal 上で公開されてしまったようだ。同社は、アップロードされてから１時間以内にリストを削除したが、このファイルは少なくとも１人のユーザーによりダウンロードされたことが明らかになっている。

最終的に、このファイルは Der Spiegel の記者の手に渡り、このリストが本物であることが確認された。Der Spiegel の記者は、「政府職員の名前が掲載されており、影響を受けた人々の一部は LinkedIn にも掲載されている」と指摘している。

このリストには、アカウントを登録した 5,600人のユーザーの、名前と会社のメール・アドレスが含まれている。その中には、以下の従業員も含まれている：

• US Cyber Command (米軍のハッキング部隊)／米司法省／FBI／NSA
• オランダ／台湾／英国の公的機関
• ドイツの連邦警察／連邦刑事警察局／軍事防諜局 (MAD)／連邦電気通信統計局など
• ドイツの Deutsche Bahn／Bundesbank／Allianz／BMW／Mercedes-Benz／Deutsche Telekom など

なお、ユーザーの名前と電子メール・アドレスは流出しているが、パスワードは流出していないとのことだ。ただし、被害を受けた個人を脅威アクターがスピアフィッシングするには十分な情報であり、その個人は明らかに、組織内の IT セキュリティとマルウェアの責任者である。

VirusTotal へのファイル・アップロードに伴うリスク

VirusTotal は、Web ベースの UI を通じて、特定のファイルや URL をチェックする人々に、無料で開放されているサービスだが、有料のサービスは企業や公共機関のみが利用でき、アップロードされたサンプルについて、より深く知ることが可能となっている。それらのアップロードされたファイルは、セキュリティ企業／専門家／研究者 (VirusTotal の顧客またはパートナー) とも共有される。

それぞれのユーザーが VirusTotal にアップロードしたファイルの中には、機密データが含まれている可能性もある。そのことは、情報窃盗犯やキーロガーが使用する (VirusTotal にアップロードされた) ファイルに含まれる、100万件以上の認証情報を収集した、SafeBreach の研究者が証明している。

以前からドイツ連邦情報セキュリティ局 (BSI) は、組織の機密データが第三者 (VirusTotal の加入者) の手に渡らないようにするために、VirusTotal にファイルを自動的にアップロードする行為について、さまざまな組織に警告を発している。

さまざまな個人情報がありますが、VirusTotal 上の個人情報は、ユーザー組織内の IT セキュリティ／マルウェアの責任者のものであるため、今後の悪用などを考えると頭が痛くなります。このブログ内を検索する限り、このような問題が VirusTotal で生じたことはありませんので、セキュリティ体制が的確に機能していたのでしょう。胎児に至らなければと願うばかりです。