開発用サーバが侵害され個人情報が外部に流出したおそれ

SecurityNEXTよると『マイナビの子会社で、学校向けのプログラミングスキル測定サービス「TechFUL」を展開する444は、同サービスの開発用サーバが侵害され、契約者やユーザーに関する個人情報が外部に流出したおそれがあることを明らかにした。』と報じました。

さらに記事には『クラウド管理会社よりネットワーク不正活動に関するアラートメールを受信。「TechFUL」のシステムについて調査したところ、開発用サーバが不正侵入されたことが判明したという。機密データを公開しないことを条件に身代金の支払いを要求する文面を発見した。』と記されている。

本番データベースに開発機を接続し、その開発機はサービス用と違ってセキュリティ設定が不十分であった。というのが大まかな原因となると思います。

攻撃者はネットワークに接続している全ての面に攻撃を仕掛けてくるので、ネットワークに接続した時点で攻撃対象なのですが、開発機は一般サービスの運用基準が適用されないケースがある様です。

最悪なのは、今回の情報漏洩に内容には『お客様のパスワードを暗号化した情報（ハッシュ）が流出』しています。ハッシュからパスワードを逆変換するのは無理だとしても、総当たりでパスワード候補をハッシュ変換して、合致したものを攻撃に使うことぐらいは、攻撃者はとっくに実行していると思います。（※プルートフォース攻撃として知られています）

それを考えると、マイナビはパスワードが漏洩したのと同じくらいの公表をすべきだと思います。

https://www.security-next.com/165751

開発サーバから情報流出か、DB破壊され脅迫文 - マイナビ子会社

https://techful.jp/info/4237/

不正アクセスによる個人情報流出に関するお詫びとお知らせ

開発用サーバ,個人情報漏洩