Pathao、一部個人情報の窃取を確認　1,900万件流出との未確認情報も

一部のデータ窃取を確認、規模はなお不明

Pathaoは、10月4日に発生し、バングラデシュとネパールでの業務に支障をきたしたサイバーセキュリティ上のインシデントで、攻撃者が一部利用者の氏名、メールアドレス、電話番号を入手したと確認した。一方、犯罪グループが1,906万3,918アカウント分に当たる133ギガバイトの情報を盗み、公開を防ぐ見返りに40万USDTを要求したとの、より大規模な主張については確認していない。

重要なのは、一部の個人情報が盗まれたことはPathaoが認めている一方、身分証明書の記録、金融取引、パスワード、位置情報が流出したとの疑いは未確認である点だ。同社は、影響を受けた人数や攻撃者の侵入経路、システムへのアクセス期間を明らかにしていない。

Pathaoは10月7日、認証済みFacebookページに掲載した声明で、個人情報が取得されたことを初めて公表した。同社は、攻撃者に渡ったと把握している情報について次のように説明した。

氏名、メールアドレス、電話番号など、一部の個人情報が悪意ある第三者に取得されたと認識しています。

Pathaoによると、インシデントを検知した後、重要なシステムを一時的にオフラインにし、その後まもなくサービスを復旧させた。また、外部のサイバーセキュリティ専門家を起用した。プラットフォームの安定化作業が続く間、一部の利用者には断続的な不具合が生じる可能性があるという。

影響は単一のサービスにとどまらない。Pathaoは配車や配送サービスに加え、デジタルウォレットのPathao Payや後払いサービスのPathao Pay Laterなどの金融商品も提供している。この幅広い事業を踏まえると、どのシステムや記録が影響を受けたのかを明らかにすることが不可欠だ。ただし、金融商品を提供していること自体は、決済情報が盗まれた証拠にはならない。

10月9日時点でも、同社はより大規模なデータ流出の主張について調査を続けていた。バングラデシュとネパールの両国で業務に支障が出たことは確認したが、影響を受けた利用者や記録の国別内訳は公表していない。

インシデントの経緯

公表された経緯には、最初の業務障害、同社による事実の確認、疑惑のデータセットをめぐるその後の対応が含まれる。以下の日付から分かるのは、インシデントが検知され、公に言及された時期であり、攻撃者のアクセスが続いた全期間ではない。

• 10月4日：Pathaoがサイバーセキュリティ上のインシデントを検知し、サービスに支障が発生した。予防措置として重要なシステムを一時的にオフラインにした。
• 10月7日：Pathaoは一部の個人情報が取得されたことを公に認めた。Xでは、より大規模な窃取と身代金要求を記した、犯罪フォーラムへの投稿とされるスクリーンショットも拡散した。
• 10月9日：同社はバングラデシュとネパールで業務に影響が出たことを改めて確認した。一方、主張されているデータ量や記録数、機微情報の種類は調査中だった。

Pathaoによると、サービスはシステム停止後まもなく再開した。同社は停止時間の正確な長さや、復旧に関する技術的な説明を公表していない。アプリへのアクセスを復旧させることと、情報漏えいの調査を完了することは別の作業だ。サービスが再開しても、調査担当者は引き続き、どの情報が持ち出されたのかを特定する必要がある。

流出したとされるデータセットの内容

犯罪グループの主張によると、データベースは591のテーブルにまたがる約2億5,000万行で、主要なアカウントデータセットには1,906万3,918件の記録が含まれる。データベースの1行は個々の記録を指し、テーブルは種類ごとに記録をまとめたものだ。複数の行が同じ人物に紐づくこともあるため、2億5,000万行が2億5,000万人の利用者に相当するわけではない。

流出したとされるアカウント情報には、氏名、電話番号、メールアドレス、パスワードデータ、GPS情報、Facebook識別子、アクセストークンが含まれる。アクセストークンは、パスワードを繰り返し入力しなくてもアプリがアカウントやサービスにアクセスできるようにするデジタル認証情報だ。

主張の一部については、報道によって説明が異なる。ある報道ではパスワードはハッシュ化されていたとされる一方、別の報道では単にパスワードと記されている。ハッシュ化とは、パスワードを読み取れる文字列のまま保存せず、変換した形式で保存することだ。ただし、保護方法によっては、流出がリスクにつながる可能性は残る。Pathaoは、いずれの形式が持ち出されたかも確認していない。

データ構造の説明にも違いがある。591の単位をデータベースの「テーブル」とする情報がある一方、「データベース」や「データリポジトリ」と呼ぶ情報もある。これらの用語は同じ意味ではない。信頼性が確認されたデータセットや技術的な調査結果がなければ、実際の構造は特定できない。

流出したとされる身分証明記録には、国民IDカード番号1,905万9,387件と運転免許証の記録1,904万6,583件が含まれる。また、一部の情報では、自宅住所約570万件や利用者の写真約1,900万枚も挙げられている。Pathaoは、いずれの情報も確認していない。

アカウント数が正確であっても、被害を受けた個人の数が確定するわけではない。記録が真正か、最新か、重複していないかを確認して初めて、その数字を影響を受けた利用者数として扱える。

従業員、加盟店、取引の記録も流出したとの主張

窃取されたとの主張は、顧客プロフィールにとどまらない。データセットには従業員549人に関する記録が含まれ、国民ID情報、給与、宗教、緊急連絡先の電話番号などが記載されているとされる。また、管理者のアクセス記録、配送先、配達員の移動記録も含まれるとの主張がある。

金融情報に関する主張には、加盟店の銀行口座番号とルーティング情報1万7,943件のほか、口座振替の取引記録84万5,872件が含まれる。銀行のルーティング情報は、決済に関与する金融機関や支店を特定するものだ。取引記録は決済の発生を記録するが、その記録があるだけで攻撃者が資金を動かせたことにはならない。

これらの数字は異なる種類の記録を示しており、単純に合算して被害者数を算出できるものではない。従業員情報、加盟店口座、繰り返し記録された取引は、疑惑のデータセット内のほかの記録と重複している可能性がある。

Pathaoのパートナーシップ・広報マネジャー、Md. Foyej氏は、機微情報に関する主張は確認できていないと述べた。同氏はメールで次のように回答した。

NID（国民ID）、運転免許証、位置情報、住所、金融データに関する主張は、現時点で確認されていません。今後、確認できた情報があればPathaoの公式チャンネルを通じてお知らせします。

身代金要求も未確認

犯罪グループが投稿したとされる内容では、40万USDTが要求され、報道では約40万ドル相当と説明されている。テザーとも呼ばれるUSDTは、米ドルの価値に連動するよう設計された暗号資産だ。報道によると、グループはPathaoに24時間以内の支払いを求め、情報を段階的に公開すると脅した。

公開すると脅した情報には、身分証明、銀行、従業員、管理者に関するデータが含まれていたという。この主張と期限は、独立して確認されていない。期限の起算時刻、支払いの有無、その後に情報が公開されたかについても、確認できる情報はない。

Pathaoを代表して回答したFoyej氏は、要求があったとされることについて確認を避けた。

身代金要求に関する未確認情報について、Pathaoとしてコメントは控えます。

盗んだ情報を公開すると脅す行為は、データを利用した恐喝に当たる。攻撃者がシステムを暗号化したり、同社が自社ファイルにアクセスできないようにしたりしたとは限らない。Pathaoは暗号化の証拠を公表しておらず、業務障害を引き起こした技術的な仕組みも説明していない。

Pathaoが明らかにした対応

Pathaoが公表した対応は主に三つある。重要なシステムの一時停止、外部のサイバーセキュリティ専門家の起用、関係当局への通知だ。同社は適用される規則に基づき、法執行機関または政府機関に通知したと述べたが、機関名や具体的な法令は明らかにしていない。

Pathaoは公表した声明で、初動対応と専門家の役割について次のように説明した。

直ちに封じ込め措置を講じ、セキュリティ対策の強化とPathaoのシステムの安全性・安定性の確保を支援するため、外部のサイバーセキュリティ専門家を起用しました。

調査が続く間、当局に協力していると同社は述べた。また、利用者、配達員、加盟店、パートナーに対し、インシデントと業務への影響を謝罪し、預かった情報を保護する責任があることを認めた。

Foyej氏は、予防措置により一部の利用者が自動的にログアウトされた可能性があるとも述べた。該当する利用者は再度ログインすればサービスを利用できるという。自動ログアウトがあったことだけで、特定の人物の情報が盗まれた証拠にはならない。

連絡先情報だけでもリスクにつながる理由

氏名、メールアドレス、電話番号が流出したと確認されたことで、攻撃者は信頼させるような偽の連絡をしやすくなる。相手の名前を呼び、利用中のサービスに言及するメッセージは、差出人不明の依頼よりも信じられやすい可能性がある。

フィッシングとは、信頼できる組織や人物を装い、情報を開示させたり、悪意あるリンクを開かせたり、何らかの操作を承認させたりする行為だ。Pathaoはその可能性について注意を促したが、今回の情報流出に関連するフィッシングやなりすましがすでに発生したとは述べていない。

情報技術の専門家、Suman Ahmed Sabir氏は、より広範な流出の主張が事実なら、なりすまし、銀行詐欺、フィッシング、恐喝、ソーシャルメディアアカウントの乗っ取りなどが起きる可能性があると指摘した。これは想定される影響についての見解であり、Pathaoの利用者が実際に犯罪被害に遭ったとの確認ではない。

流出した情報の種類によってリスクは異なる。連絡先情報は標的を絞った詐欺に、身分証明書はなりすましに悪用される可能性があり、位置情報や移動記録は私的な行動を明らかにする恐れがある。アクセストークンについても、権限の範囲や有効期限によってはアカウントの安全性を脅かす可能性がある。Pathaoは、こうしたより機微な情報が流出したとは確認していない。

利用者への注意喚起

Pathaoは、同社を名乗る相手から予期せぬメッセージ、電話、リンクが届いた場合は注意するよう呼びかけている。こうした連絡に応じて、パスワード、PIN、ワンタイムパスワードを共有しないよう利用者に伝えている。

OTP（ワンタイムパスワード）は、ログインや取引を承認するための一時的なコードだ。アカウントの通常のパスワードを知らない相手でも、OTPを共有すると、それによって保護されている操作を完了できる可能性がある。

同社は、確認済みの最新情報を得るため、公式の連絡チャンネルを利用するよう勧めた。また、インシデントに関連して案内されたセキュリティ対策には、不審なリンクを避けることや、Facebookなどのアカウントで二要素認証を有効にすることも含まれていた。二要素認証では、パスワードに加えて別の確認手順が設けられる。

こうした予防策は、あらゆる主張が事実だと決めつけずに、情報の悪用に備えるものだ。今回のインシデントに関連するFacebookアカウントの侵害、詐欺取引、なりすまし被害の件数は確認されていない。

調査で明らかにすべき点

サイバーセキュリティ専門家のTanvir Hassan Zoha氏は、独立したデジタル・フォレンジック調査、関連サーバーとアクセスログの保全、適用法令に基づく規制当局や法執行機関への通知を推奨した。デジタル・フォレンジックは、どのシステムにアクセスがあり、どのような操作が行われたのかなど、技術的証拠を使って事実関係を再構成する手法だ。

ログを保全することは、侵入経路、不正アクセスの期間、攻撃者がアクセスした記録を特定する手がかりになるため重要だ。Pathaoは外部専門家の起用を発表しているが、その作業が独立したフォレンジック調査に当たるかどうかや、調査結果は明らかにしていない。

Sabir氏はまた、インシデント対応を担う機関を含め、バングラデシュのサイバーセキュリティ監督体制は人員や資源が限られていると指摘した。損失を被った顧客への補償を定める法的枠組みの整備も求めた。いずれも同氏の評価と提言であり、Pathaoを調査する当局の認定ではない。

直ちに解明が必要な点は、より具体的だ。影響を受けた利用者は何人なのか、どの種類の情報が持ち出されたのか、両国の記録が流出したのか、金融情報やアカウント認証情報が本物なのか。Pathaoは調査完了や結果公表、次回の報告の日程を明らかにしていない。

確認済みの情報を公表するという同社の約束を踏まえ、利用者は二つの事実を区別する必要がある。一部の個人データが盗まれたことは確認されている。一方、1億3,300万ギガバイトのデータセットに1,900万件を超えるアカウント、広範な身分証明情報や金融情報が含まれるとの主張は確認されていない。

要点

• Pathaoは、10月4日のインシデントで攻撃者が一部利用者の氏名、メールアドレス、電話番号を取得したと確認した。
• バングラデシュとネパールで業務に支障が生じ、安定化作業中は一部利用者に断続的な不具合が起きる可能性がある。
• 133ギガバイト、1,906万3,918アカウント、約2億5,000万件のデータベース行に関する主張は未確認のままだ。
• パスワード、身分証明記録、位置情報、金融情報が流出したとの主張をPathaoは確認していない。
• 40万USDTの要求と24時間の期限があったとの情報は、同社によって確認されていない。
• 外部のサイバーセキュリティ専門家が対応に加わり、関係当局にも通知されたが、調査完了時期は発表されていない。
• 利用者には、予期せぬ連絡に注意し、パスワード、PIN、OTPを決して共有しないよう呼びかけている。