ゆめさくセキュリティ

2019年7月19日に発覚、海外、銀行・クレジットカード

キャピタル・ワン情報漏えい

ファイアウォールの設定の誤りと権限の過大な付与で、クラウド上の顧客データ1億件超が流出した

何があったか

2019年3月22日、何者かがキャピタル・ワンのクラウド環境にあるサーバーの設定の誤りを突いて侵入し、ウェブアプリケーションファイアウォール用のアカウントの認証情報を手に入れた。このアカウントには必要な範囲を超えてクラウドストレージを読み取れる権限があり、侵入者は700を超えるフォルダやバケットの一覧を取得したうえで、クレジットカード申込みのデータなどを抜き出した。2019年7月17日、外部の人物がキャピタル・ワンの脆弱性報告窓口に、GitHub上に同社のデータらしき物が流出していると知らせた。

会社が投稿を調べ、7月19日に不正アクセスがあったと確認してFBIに連絡した。捜査でGitHubとSlackの投稿から元アマゾン・ウェブ・サービスの技術者だった人物が浮かび上がり、7月29日に逮捕された。流出が確認されたのは米国の個人と事業者の情報約1億件、カナダの情報約600万件で、米国の社会保障番号約14万件、カナダの社会保険番号約100万件を含んでいた。

会社は2019年中に1億から1億5000万ドルの追加費用を見込むと公表した。2020年8月、通貨監督庁(OCC)はクラウド移行前のリスク評価や、ネットワークの統制、警報への対応が不十分だったとして、キャピタル・ワンに8000万ドルの民事制裁金を科した。2022年6月に陪審は被告に有罪の評決を下し、量刑では服役済みの期間と5年の保護観察、4000万ドルを超える被害弁償が言い渡されたが、2025年3月に控訴裁判所がこの量刑を取り消し、やり直しを命じた。

入口
外部の人物が、クラウド環境に置かれたサーバーの設定の誤りを突いて侵入し、ウェブアプリケーションファイアウォール用のアカウントの認証情報を手に入れた。
決め手の失敗
クラウドへの移行前に効果的なリスク評価をしておらず、ネットワークの統制やデータ漏洩防止の仕組みが十分でなかった。ファイアウォール用のアカウントの権限が、業務に必要な範囲を超えてクラウドストレージを読み取れるほど広かった。内部監査もこの弱点を十分に報告していなかった。
被害
米国の個人と事業者の情報約1億件、カナダの情報約600万件が流出した。米国の社会保障番号約14万件、カナダの社会保険番号約100万件を含んでいたが、クレジットカード番号やログイン情報の流出はなかった。会社は2019年中に1億から1億5000万ドルの追加費用を見込んだ。

攻撃の流れ

  1. 入口外部の人物が、キャピタル・ワンがクラウドサービス上に置いていたウェブアプリケーションファイアウォールの設定の誤りを突き、特定のサーバーにコマンドを実行できる状態を作った
  2. 権限の奪取そのコマンドを使い、ウェブアプリケーションファイアウォール用のアカウントの認証情報を手に入れた。このアカウントには、本来必要な範囲を超えてクラウドストレージを読み取れる権限が与えられていた
  3. 持ち出し手に入れた認証情報を使ってストレージにある700を超えるフォルダやバケットの一覧を取得し、複数回にわたりクレジットカード申込みデータなどを抜き出した
  4. 発覚2019年7月17日、外部の人物からの通報でキャピタル・ワンが投稿サイト上の流出データに気づき、調べたうえで7月19日に不正アクセスがあったと判断してFBIに連絡した
  5. 影響捜査と会社の調査により、米国とカナダの個人と事業者の情報が合わせて約1億600万件流出したことが確認された

数字で見る

  • 約1億人 米国の対象者数[1]
  • 約600万人 カナダの対象者数[1]
  • 約14万件 米国の社会保障番号[1]
  • 約100万件 カナダの社会保険番号[1]
  • 1億〜1億5000万ドル インシデントの追加費用の見込み (2019年)[1]
  • 8000万ドル OCCの民事制裁金[4]
  • 約4か月 侵入開始から発覚まで[3] 2019年3月22日から7月19日までを資料の日付から数えた
  • 4000万ドル超 判決で命じられた被害弁償額[7]

気づいたきっかけ

2019年7月17日、外部の人物がキャピタル・ワンの脆弱性報告窓口に、GitHub上に同社のデータらしき物が流出していると伝えた。会社がその投稿を調べ、7月19日に不正アクセスがあったと判断した

対応と復旧

キャピタル・ワンは設定の誤りをただちに修正し、環境内に同じ問題が残っていないか確認したうえで、自動のスキャンを強化した。FBIに連絡して捜査に協力し、影響を受けた人には無料の信用監視と本人確認保護を提供すると発表した

組織が認めた原因と、決めた対策

認めた原因

  • 高度な技術を持つ人物が、自社のインフラにあった特定の設定の脆弱性を突いたとキャピタル・ワンは説明した
  • 2015年ごろ、クラウドへの情報技術の移行前に効果的なリスク評価の仕組みを整えておらず、ネットワークのセキュリティ統制やデータ漏洩防止の統制、警報への対応の体制も適切に構築していなかったとOCCは認定した
  • 内部監査がクラウド環境の管理の弱点や不備を数多く見つけられず、見つけた分も監査委員会へ十分に報告していなかったとOCCは認定した
  • 内部監査が指摘した懸念について、取締役会が経営陣に説明責任を十分に果たさせていなかったとOCCは認定した

公表した再発防止策

  • 技術やクラウドの変更を始める前に、包括的なリスク評価を監督当局に提出し審査を受ける体制を作る
  • ネットワークの境界を守る包括的なセキュリティ統制を整える
  • 機微な顧客情報を特定して守る仕組みと、外部への不正な情報の持ち出しを防ぎ検知する仕組みを作る
  • クラウド内のオブジェクトに関する脆弱性管理と設定管理の統制を整える
  • 取締役会が経営陣の対応状況をより厳しく監督し、説明責任を追及する体制にする

自分のサービスで確かめること

  • クラウドやネットワーク機器の設定を変える前に、リスク評価を済ませてから本番環境に反映しているか確かめる
  • ファイアウォールやプロキシなど外部との通信を仲介する役割のアカウントに与えている権限が、必要な範囲に絞られているか棚卸しする
  • クラウドのメタデータサービスやストレージへのアクセス権限が、個々のサービスの用途に合わせて最小限になっているか確かめる
  • 外部からの脆弱性報告を受け取る窓口を持ち、届いた報告をすぐに調べて対応する体制があるか確かめる
  • 警報やログを継続して見る人がいて、異常な通信や普段使われない権限の利用に気づける体制か確かめる

関わる攻撃とレッスン

攻撃の種類

学べるレッスン

時系列

  1. 2019年
  2. 3月22日 侵入 設定の誤りを突いて得たファイアウォール用アカウントの認証情報を使い、ストレージのデータを抜き出すコマンドが実行された[3]
  3. 7月17日 発覚 外部の人物からキャピタル・ワンの脆弱性報告窓口に、GitHub上の流出データについての通報があった[3]
  4. 7月19日 発覚 キャピタル・ワンが不正アクセスがあったと判断し、FBIに連絡した[1]
  5. 7月29日 公表 キャピタル・ワンがインシデントを公表した。同じ頃FBIが被告の住居を捜索し逮捕した[1]
  6. 2020年
  7. 8月6日 処分 OCCがキャピタル・ワンに8000万ドルの民事制裁金の同意命令と、リスク管理の改善を求める是正措置命令を出した[4]
  8. 2022年
  9. 6月 処分 陪審が被告に電信詐欺1件とコンピュータ詐欺・不正利用6件について有罪の評決を下した[7]
  10. undefined月 処分 量刑審理で服役済みの期間と5年の保護観察が言い渡され、4000万ドルを超える被害弁償が命じられた[7]
  11. 2025年
  12. 3月17日 処分 連邦控訴裁判所がこの量刑を実質的に不合理と判断して取り消し、やり直しを命じた[7]

攻撃した側について

公的機関が名指しした攻撃者 Paige A. Thompson

連邦刑事裁判で有罪の評決を受けた被告の氏名であり、司法省と連邦控訴裁判所の記録に明記されている。キャピタル・ワン自身は加害者の氏名を公表していない

出典

2026年10月24日に開いて確かめました。本文の [1] などの数は、この一覧の番号です。

  1. Capital One Announces Data Security Incident Capital One Financial Corporation、2019年7月29日、被害組織の資料
  2. United States v. Paige Thompson (Case Summary) U.S. Attorney's Office, Western District of Washington (Department of Justice)、2022年1月13日、公的機関の資料
  3. Complaint for Violation of 18 U.S.C. 1030(a)(2), United States v. Paige A. Thompson, No. MJ19-344 United States District Court, Western District of Washington、2019年7月29日、裁判の資料
  4. OCC Assesses $80 Million Civil Money Penalty Against Capital One Office of the Comptroller of the Currency、2020年8月6日、公的機関の資料
  5. Consent Order for the Assessment of a Civil Money Penalty, #2020-036 (AA-EC-20-51) Office of the Comptroller of the Currency、2020年8月6日、公的機関の資料
  6. Cease and Desist Order, #2020-037 (AA-EC-20-49) Office of the Comptroller of the Currency、2020年8月6日、公的機関の資料
  7. United States v. Thompson, No. 22-30179 (9th Cir. 2025) United States Court of Appeals for the Ninth Circuit、2025年3月17日、裁判の資料