ゆめさくセキュリティ

2022年9月22日に公表、海外、通信 (携帯電話・固定通信)

Optus 個人情報流出

社外に公開されたサイトが社内データベースと連動する部分の認可が不十分で、数百万人分の情報に不正アクセスされた

何があったか

オーストラリアの通信大手Optus (シンテル・グループ) は、2022年9月22日、現在・過去・申込時のみの顧客を含む数百万人分の個人情報にサイバー攻撃で不正アクセスがあったことを公表した。脅威アクターが取得した情報には、氏名、生年月日、自宅住所、電話番号、メールアドレスに加え、パスポート番号、運転免許証番号、メディケア (公的医療保険) 番号、出生証明書や婚姻証明書の情報、国防軍・警察等の身分証明情報まで含まれていた。取得された情報の一部はその後ダークウェブ上で公開された。

オーストラリア情報コミッショナー事務所 (OAIC) は同年10月11日、ACMA (オーストラリア通信・メディア庁) と調整しながらOptusへの調査を開始した。政府は流出した身分証明情報の悪用を防ぐため、Credential Protection Registerの運用を始め、2022年10月14日時点で約10万件のパスポート情報を登録した。

調査の結果、ACMAは2024年、Optus Mobileが2022年9月17日から20日の間の侵害で顧客情報の秘密を守る義務に違反したとして連邦裁判所に提訴した。OAICも2025年8月8日、Optusが2019年10月17日から2022年9月20日まで約950万人のオーストラリア人のプライバシーを著しく侵害したとして、連邦裁判所に民事制裁の申立てを行った。いずれの訴訟も、本稿作成時点で係争中である。

入口
社外に公開されたウェブサイトやドメインが、社内で顧客情報を保持するデータベースと連動する部分に弱点があり、権限のない形で個人情報にアクセスできる状態になっていた
決め手の失敗
OAICは、Optusが保有する個人情報の性質・量、自社の規模、侵害時に生じうるリスクに見合った形でサイバーセキュリティと情報セキュリティのリスクを管理していなかったと主張している。外部公開ドメインの所有・管理の責任の所在が明確でなかったことも背景にあるとしている
被害
現在・過去・申込時のみの顧客を含む数百万人分の個人情報に不正アクセスがあり、氏名や連絡先に加えパスポート番号、運転免許証番号、メディケア番号などの身分証明情報が流出し、一部はダークウェブ上で公開された。OAICは約950万人のオーストラリア人のプライバシーが著しく侵害されたと主張している

攻撃の流れ

  1. 入口社外に公開されたウェブサイト・ドメインが社内の顧客データベースと連動する部分に弱点があり、正当な権限を持たない形で顧客情報にアクセスできる状態になっていた
  2. 持ち出し脅威アクターがこの弱点を使い、現在・過去・申込時のみの顧客を含む数百万人分の個人情報を取得した
  3. 公開取得された個人情報の一部がその後ダークウェブ上で公開された
  4. 発覚と公表Optusが攻撃に気づき、2022年9月22日に被害を公表した
  5. 影響ACMAとOAICがそれぞれ異なる法律に基づき調査を進め、ACMAは通信の秘密保護義務違反、OAICはプライバシー法上の合理的な保護措置の懈怠を理由に連邦裁判所へ提訴した

数字で見る

  • 約950万人 プライバシーを著しく侵害されたとOAICが主張する人数[1] オーストラリアの人口に対する割合
  • 2019年10月17日から2022年9月20日まで OAICが主張する違反期間[1]
  • 220万豪ドル 民事制裁金の上限 (1件の違反につき)[1] OAICは950万人の1人ごとに1件の違反を主張している
  • 約10万件 Credential Protection Registerに登録されたパスポート件数[4] 2022年10月14日時点

対応と復旧

政府はTelecommunications Regulations 2021を改正し、Optusが金融機関や政府機関と限られた情報を共有してID盗用や詐欺のリスクを検知・軽減できるようにした。内務省はCredential Protection Registerを設け、流出した身分証明情報が本人確認サービスで悪用されるのを防ぐ仕組みを作った。オーストラリア連邦警察はOperation HURRICANEで攻撃の捜査を、Operation GUARDIANで被害者保護と業界への注意喚起を行った

組織が認めた原因と、決めた対策

認めた原因

  • OAICは、外部公開のウェブサイトやドメインが社内の顧客データベースと連動する部分にリスクがあり、これがOptusの情報漏洩の背景にあると指摘している
  • OAICは、Optusが保有する個人情報の性質・量や自社の規模、リスクの大きさに見合った形でサイバーセキュリティと情報セキュリティのリスクを管理していなかったと主張している
  • ACMAは、Optus Mobileが2022年9月17日から20日の侵害において、顧客の個人情報を認可されていない妨害やアクセスから守る、通信法上の義務を果たしていなかったと主張している

公表した再発防止策

  • 外部公開のインターネット向けドメインについて明確な所有者と責任を定める
  • 顧客の個人情報へのアクセス要求が、その情報にアクセスする権限を持つものかどうかを確認する
  • 単一の対策に頼らず、セキュリティ対策を複数層に重ねる
  • 脆弱性を検知し、インシデントに適時に対応できる堅牢なセキュリティ監視の仕組みを導入する
  • 委託先を含め、プライバシーとサイバーセキュリティに十分な資源を割り当てる
  • 重要で機微な基盤を積極的に点検し、改善点があれば適時に対応する

自分のサービスで確かめること

  • 社外に公開しているウェブサイトやドメインの一覧を持ち、それぞれの所有者と管理の責任者が明確かを確かめる
  • 社内データベースと連動する公開側の仕組みで、情報へのアクセス要求ごとに正当な権限を確認しているかを確かめる
  • ある利用者の情報を指す識別子を変えるだけで、別の利用者の情報が見えてしまわないかを確かめる
  • セキュリティ対策が単一の仕組みに頼っておらず、複数層で重なっているかを確かめる
  • 脆弱性や不審なアクセスを検知し、適時に対応できる監視体制があるかを確かめる

関わる攻撃とレッスン

攻撃の種類

学べるレッスン

時系列

  1. 2022年
  2. 9月 侵入 ACMAによれば、2022年9月17日から20日の間に顧客の個人情報への不正アクセスがあった[3]
  3. 9月22日 公表 Optusがデータ侵害を公表した[2]
  4. 10月11日 対応 OAICがACMAと調整しながらOptusの個人情報の取り扱いについて調査を開始した[2]
  5. 10月14日 対応 政府のCredential Protection Registerに、この時点で約10万件のオーストラリアのパスポートが登録された[4]
  6. 2024年
  7. 5月22日 処分 ACMAが連邦裁判所にOptus Mobileを提訴したことを声明した (通信の秘密保護義務違反の疑い)[3]
  8. 2025年
  9. 8月8日 処分 OAICがSingtel OptusとOptus Systemsを相手取り、連邦裁判所に民事制裁の申立てを提起した[1]

攻撃した側について

OAICとACMAのいずれの公表資料にも、攻撃者個人や集団の名指しはない。ACMAとOAICの訴訟は本稿作成時点で係争中で、Optusは申し立てられた内容を争う方針を示している

出典

2026年10月24日に開いて確かめました。本文の [1] などの数は、この一覧の番号です。

  1. Australian Information Commissioner takes civil penalty action against Optus Office of the Australian Information Commissioner (OAIC)、2025年8月8日、公的機関の資料
  2. OAIC opens investigation into Optus over data breach Office of the Australian Information Commissioner (OAIC)、2022年10月11日、公的機関の資料
  3. ACMA statement on 2022 Optus data breach Australian Communications and Media Authority (ACMA)、2024年5月22日、公的機関の資料
  4. Optus Data Breach (fact sheet, as at 14 October 2022) オーストラリア政府、2022年10月14日、公的機関の資料