ゆめさくセキュリティ

2019年5月24日に発覚、海外、権原保険・エスクローサービス (不動産決済)

ファースト・アメリカン 文書共有アプリの認可漏れ

文書共有アプリのリンクに認証が無く、URLの番号を差し替えると他人の機密文書が見えた

何があったか

ファースト・アメリカン・ファイナンシャル・コーポレーションは、不動産の権原保険やエスクロー業務で集めた文書の画像を顧客に渡す「EaglePro」というアプリケーションを2013年に始めた。2014年10月に加えた機能で、担当者が文書を選ぶと、認証なしで開けるリンクをメールで送れるようになった。このリンクのURLには文書の連番のIDが入っており、番号を別の数字に差し替えると無関係な別の取引の文書画像も表示される欠陥が2014年から存在していた。

2018年12月、自社のセキュリティチームが定例の侵入テストでこの欠陥を見つけ、2019年1月11日付の最終報告書で深刻度3 (重大) の脆弱性としてまとめた。ところが社内のシステムへ入力する際に深刻度2 (低) と誤って記録され、本来45日のところ90日の猶予が付き、担当者は定めた期限の5月8日までに直さなかった。

2019年5月24日の朝、セキュリティ分野の記者が、EaglePro経由で2003年以降の文書画像が約8億件、公開に近い状態になっていると会社に伝えてきた。この時点で最高情報セキュリティ責任者は初めて1月の報告書の存在と未対応を知った。会社は外部からのアクセスを止め、既存のリンクをすべて無効にし、記者向けの声明を出した。27日にNYDFSへ届け出て、28日にはSECへのForm 8-Kで「大規模な不正アクセスの兆候はない」と公表したが、承認した経営幹部は1月の報告書の存在もその後の未対応も知らされていなかった。31日には顧客向けの通知で個人情報が閲覧された可能性を認め、無料の信用監視サービスを提供すると伝えた。

SECは2021年6月、開示統制及び手続きの不備を理由に48万7,616ドルの制裁金を科し、NYDFSは2023年11月、サイバーセキュリティ規則違反を理由に100万ドルの制裁金を科した。

入口
文書の画像を顧客に渡すEagleProのリンク機能に認証が無く、URLの中の文書IDを別の連番に差し替えるだけで、無関係な別の取引の文書画像も見られた
決め手の失敗
自社の侵入テストで見つけた深刻度3の脆弱性が、社内システムへの入力の誤りで深刻度2として記録され、定めた是正期限までに直されなかった。経営幹部にはこの報告書の存在も未対応の状況も伝わっていなかった
被害
EaglePro経由で2003年以降の文書画像約8億件が、認証なしで閲覧できる可能性のある状態にあった。社会保障番号や銀行口座の情報、運転免許証の画像など非公開の個人情報を含む文書が対象になっていた

攻撃の流れ

  1. 入口2014年10月に加わったEagleProのリンク機能は、文書を指定すると認証なしで開けるURLをメールで送る仕組みだった。URLの中の文書IDを別の連番に差し替えると、無関係な別の取引の文書画像も表示された
  2. 発見2018年12月、自社のセキュリティチームが定例の侵入テストでこの欠陥を見つけ、2019年1月11日付の最終報告書で深刻度3 (重大) の脆弱性としてまとめた
  3. 放置報告書をシステムに入力する過程で深刻度2 (低) と誤って記録したため、本来45日のところ90日の猶予が付き、担当者は定めた是正期限の2019年5月8日までに直さなかった
  4. 発覚2019年5月24日の朝、セキュリティ分野の記者からの指摘を受けて、最高情報セキュリティ責任者が初めて1月の報告書の存在と未対応を知った
  5. 影響約8億件の文書画像が2014年から2019年5月まで、認証なしでアクセスできる可能性のある状態にあった。実際にどれだけの文書が閲覧されたかは命令文書に記載がない

数字で見る

  • 約8億件 (2003年以降) SECが認定した、公開に近い状態にあった文書画像の件数[1]
  • 885,000,000件 記者が指摘した文書画像の件数[2] NYDFSの命令文書に記載された、記者の主張による数
  • 48万7,616ドル SECの制裁金[1]
  • 100万ドル NYDFSの制裁金[2]
  • 約4か月 侵入テストの最終報告書確定から是正期限までの期間[1] 2019年1月11日の報告書確定から同年5月8日の是正期限まで、資料の日付から数えた

気づいたきっかけ

2019年5月24日の朝、セキュリティ分野の記者が投資家向け広報の担当者に、EaglePro経由で2003年以降の文書画像が約8億件、公開に近い状態になっていると伝えた。この連絡を受けて最高情報セキュリティ責任者が初めて2019年1月の侵入テスト報告書の存在と未対応を知った

対応と復旧

会社は記者からの連絡を受けて外部からのEagleProへのアクセスを止め、既存のリンクをすべて無効にした。5月27日にNYDFSへサイバーセキュリティ規則500条17項に基づき脆弱性の存在を届け出た。5月31日には顧客向けの通知で個人情報が閲覧された可能性を認め、2003年以降に取引のあった顧客に無料の信用監視サービスを提供した

組織が認めた原因と、決めた対策

認めた原因

  • SECは、2019年1月の報告書でEagleProの脆弱性を把握していたことを、報道対応やForm 8-K提出の前に責任者である経営幹部へ伝えるための開示統制及び手続きを維持していなかったと認定した
  • 脆弱性の深刻度を社内システムへ入力する際の誤りにより、本来45日で対応すべき深刻度3の脆弱性が深刻度2として扱われ、是正期限が延び、期限までに是正されなかった
  • NYDFSは、First AmericanがEagleProをリスク評価の中で非公開情報を含まないアプリケーションと誤って分類したため、適切なアクセス制御の方針を実施していなかったと認定した
  • NYDFSは、EagleProのハイパーリンクに非公開情報へのアクセスを制限する仕組みがなく、個人情報への不正な閲覧の可能性を招いたことがサイバーセキュリティ規則23 NYCRR 500条7項違反に当たると認定した

公表した再発防止策

  • First Americanは脆弱性を是正し、情報セキュリティプログラムを強化する内容をまとめた是正の概要と対応状況の報告をNYDFSに提出し、承認を受けた (具体的な内容は命令文書に記載されていない)

自分のサービスで確かめること

  • 文書や画像を渡すリンクのURLに連番のIDをそのまま使っていないか、他人のIDに差し替えてアクセスできないか確かめる
  • 外部に共有するリンクに有効期限と認証 (パスワードなど) が必ず掛かっているか確かめる
  • 個人情報を含むアプリケーションや文書を、リスク評価や台帳の中で正しく分類しているか定期的に確かめる
  • 侵入テストで見つかった脆弱性の深刻度と是正期限が、人の手入力の誤りで変わっていないか確かめる
  • 重大な脆弱性の発見と未対応の状況が、対外的な発表の前に経営幹部や開示の担当者に伝わる経路があるか確かめる

関わる攻撃とレッスン

攻撃の種類

学べるレッスン

  • 2-4 認可の設計
  • 5-1 安全な開発の流れ (準備中)
  • 3-6 報告と範囲 (準備中)
  • 5-3 法務と倫理 (準備中)

時系列

  1. 2018年
  2. 12月 発覚 自社のセキュリティチームが定例の侵入テストで、EagleProのURLの文書IDを差し替えると認証なしに他の文書を見られる欠陥を見つけ、予備的な所見を社内の担当チームに共有した[2]
  3. 2019年
  4. 1月11日 発覚 侵入テストの最終報告書が確定し、深刻度3 (重大) の脆弱性として社内の担当チームに共有されたが、システムへの入力の誤りで深刻度2として記録された[1]
  5. 5月24日 発覚 セキュリティ分野の記者から指摘を受け、最高情報セキュリティ責任者が初めて1月の報告書の存在と未対応を知った。会社は外部からのEagleProへのアクセスを止め、既存のリンクを無効にした[1]
  6. 5月27日 公表 NYDFSにサイバーセキュリティ規則500条17項に基づき脆弱性の存在を届け出た[2]
  7. 5月28日 公表 SECにForm 8-Kを提出し、「大規模な不正アクセスの兆候はない」とする声明を公表した[1]
  8. 5月31日 公表 顧客向けの通知で個人情報が閲覧された可能性を認め、2003年以降の顧客に無料の信用監視サービスを提供すると伝えた[2]
  9. 2020年
  10. 7月21日 処分 NYDFSがFirst Americanに対し、サイバーセキュリティ規則違反を理由とする制裁の請求 (Statement of Charges and Notice of Hearing) を申し立てた[2]
  11. 2021年
  12. 6月14日 処分 SECが開示統制及び手続きの不備を理由に、48万7,616ドルの制裁金を科すcease-and-desist命令を出した[1]
  13. 2023年
  14. 11月27日 処分 NYDFSが23 NYCRR 500条3項及び7項違反を理由に、100万ドルの制裁金を科すconsent orderを出した[2]

攻撃した側について

この事案はEagleProの設計上の欠陥とその未是正によるもので、特定の攻撃者による不正アクセスを示す証拠はSECとNYDFSの命令文書に記載されていない。文書の内容を実際に閲覧したことが確認されているのは、会社に指摘した記者だけである

出典

2026年10月24日に開いて確かめました。本文の [1] などの数は、この一覧の番号です。

  1. In the Matter of First American Financial Corporation (Securities Exchange Act Release No. 92176, File No. 3-20367) 米証券取引委員会 (SEC)、2021年6月14日、公的機関の資料
  2. In the Matter of First American Title Insurance Company (Consent Order) ニューヨーク州金融サービス局 (NYDFS)、2023年11月27日、公的機関の資料