チューリッヒ保険、ドラレコ管理システムに不正アクセス　発覚まで4カ月半

半年近く気づかれなかった侵入 #

チューリッヒ保険会社が、ドライブレコーダー映像のアップロードに使う顧客向けシステム「Z-Dash」への不正アクセスを公表した。侵入があったのは4月1日と6日。発覚したのは8月18日で、実に4カ月半、侵入は誰にも気づかれずに残っていた計算になる。同社は27日時点で最大1668件の個人情報(事案管理番号・氏名・メールアドレス)が漏えいした可能性があるとしている。ドラレコの映像データやクレジットカード情報、口座情報は対象に含まれていないという。

Z-Dashという「地味なシステム」が突かれた理由 #

今回突かれたのは、事故対応のためにドラレコ映像をアップロードさせる補助的なWebシステムだった。基幹の契約・決済系ではなく、こうした周辺システムは監視の優先度が下がりやすく、脆弱性診断やログ監視の頻度も薄くなりがちだ。保険会社は近年、テレマティクスやドラレコ連携で取り扱うデータ量そのものが急増しており、攻撃対象領域(アタックサーフェス)は本体システム以上のペースで広がっている。攻撃者はまさにそうした「本丸ではないが顧客個人情報にはアクセスできる」システムを狙う傾向が強い。

顧客側の実害はフィッシングリスク #

漏えいしたとされる情報は氏名とメールアドレス、社内管理用の事案番号にとどまり、金銭的被害に直結する情報は含まれないというのが不幸中の幸いだ。ただし氏名・メールの組み合わせは、保険金請求を装った標的型フィッシングの材料として十分悪用できる。該当する可能性がある顧客には郵送で通知予定というが、対象者は「チューリッヒから保険関連のメールが来たら、リンクを踏む前に公式アプリや電話で真偽を確認する」くらいの警戒をしておくのが無難だろう。企業側にとっても、周辺システムほど検知までの時間が伸びるという典型例として教訓的だ。