米国の National Student Clearinghous で MOVEit ハッキング：900 の大学の情報が流出

900 US Schools Impacted by MOVEit Hack at National Student Clearinghouse

2023/09/25 securityweek — 北米の大学に対して、報告／検証／調査のサービスを提供する教育非営利団体 National Student Clearinghouse が明らかにしたのは、約 900もの大学が MOVEit ハッキングの影響を受けているという現状である。今年のはじめに、このランサムウェア・グループは、マネージド・ファイル転送ソフトウェア MOVEit のゼロデイ脆弱性を悪用し、数千の組織と数百万の個人の情報に不正アクセスした。MOVEit へのハッキングにより、直接的／間接的に影響を受けた組織を追跡している Emsisoft によると、被害者の総数は 9月22日時点で 2053件に達し、影響を受けた個人の人数は 5700万人を超えるという。

 

そして先週に National Student Clearinghouse はカリフォルニア州司法長官に対して、同社のサービスを利用している 900近くの大学が、MOVEit ハッキングの影響を受けていると報告した。なお、８月の下旬にも同組織は、メイン州の司法長官に対して、このインシデントにより 51,000人以上が影響を受けたと通知している。

National Student Clearinghouse は、影響を受けた個人に送付したデータ漏洩通知の中で、５月下旬に MOVEit サーバがハッキングされたが、6月20日になって判明したのは、学生記録データベースの情報を保存している、特定のファイルが盗まれたことだと述べている。

同組織によると、漏洩した情報に含まれるのは、氏名／生年月日／連絡先／社会保障番号／学生証番号／学位在籍記録に加えて、コース・レベルのデータなどの学校関連の記録があるという。また、同組織は、「この問題で影響を受けたデータは、個人ごとに異なる」と述べている。

MOVEit の攻撃を受けた組織の中には、米国エネルギー省l／エネルギー大手の Siemens Energy／Schneider Electric／Shell／Notton の親会社であるGen Digita などが含まれる。

また、数百万人の個人情報が流出した組織としては、French Pole Emploi (10 million)／Colorado Department of Health Care Policy and Financing (4 million)／Maximus (11 million) などが含まれる。

MOVEit 攻撃ですが、いまでも新しい被害者が明らかになるという状況です。直近の関連記事としては、2023/08/22 の「MOVEit 脆弱性への Clop 攻撃が止まらない：NCC Group の脅威レポート」があります。よろしければ、MOVEit で検索も、ご利用ください。