D5/100
情報漏えい · 中
FABRIC TOKYOの検証用システムに不正アクセス 699名分の情報流出の恐れ
ティアD · 参考情報 – 知っておくと良い
影響を受ける人： 2021年5月から7月の予約者699名分の情報
ティアDの理由： 開発者に影響しない
影響範囲
攻撃
被害
修正
悪用確認済み · シークレットの流出
要点
- FABRIC TOKYOは11月11日、検証用システムで使っていたアクセスキーが外部委託先から流出した可能性が高いと発表した
- 第三者による検証用システムへの不正アクセスを確認したという
- 対象は2021年5月から7月の予約データに含まれる699名分の情報で、流出の恐れがあるとされる
なぜ重要か
検証用環境であっても、外部委託先に渡したアクセスキーが流出すると本番に近いデータへの侵入経路になりうる。委託先が扱う認証情報の管理と、検証環境に実データを置かない運用を見直す必要がある。
ティアの根拠となったチェックリスト
チェックリスト · 10項目中2項目が「はい」
| いいえ | 開発者に影響 | FABRIC TOKYOの一般向け予約システムの検証環境であり、開発ツールや運用基盤ではない。 |
| いいえ | 基幹インフラ | 影響を受けたのは1社の検証用システムであり、ほぼすべてのチームが運用するソフトウェアではない。 |
| いいえ | 人気ツール | 広く使われるフレームワークや製品ではなく、1社の検証用システムに限られる。 |
| はい | 悪用確認済み | サイバーセキュリティ.com: 第三者による不正アクセスを確認したとFABRIC TOKYOが発表したと報じた。 |
| いいえ | 公開エクスプロイト | サイバーセキュリティ.com: 公開された攻撃手順やエクスプロイトに関する記述はない。 |
| いいえ | 認証不要のリモート攻撃 | サイバーセキュリティ.com: 不正アクセスの経路は示されておらず、ネットワーク経由で認証なしに悪用できたとの記述はない。 |
| いいえ | 完全な乗っ取り | サイバーセキュリティ.com: コード実行や管理者権限の取得について報じられていない。 |
| はい | シークレットの流出 | サイバーセキュリティ.com: 検証用システムのアクセスキーが流出し、予約者699名の情報が流出した恐れがあると報じた。 |
| いいえ | サプライチェーン | サイバーセキュリティ.com: 悪意あるコードや正規パッケージの配布経路が侵害されたとの記述はない。 |
| いいえ | 修正なし | サイバーセキュリティ.com: 修正の有無や脆弱性の存在は報じられていない。 |
タイムライン
FABRIC TOKYOが検証用システムへの不正アクセスと情報流出の恐れを発表
サイバーセキュリティ.com
FABRIC TOKYOの検証用システムに不正アクセス 予約者699名の情報が流出した恐れ
出典
FABRIC TOKYOの検証用システムに不正アクセス 予約者699名の情報が流出した恐れ ↗ サイバーセキュリティ.com · 58分前