さらに別の組織が、100GBを超える機密企業データを誤ってインターネット上に公開していたことが判明した。
今回の標的は、自動車メーカー向け工場用ロボットの開発を専門とするカナダの企業、Level One Roboticsです。流出した情報には、トヨタ、フォード、GM、VW、フィアット・クライスラー、テスラなどの企業に関する機密文書が含まれているとされています。
オンライン漏洩の発見に強みを持つ情報セキュリティ企業Upguardは先週末、設定の不備なrsyncサーバーを介して、秘密ファイルがインターネット上の誰でもアクセスできる状態になっていたと発表しました。Level Oneのrsyncサーバーは、認証なしであらゆるIPアドレスからの接続を受け付けるように設定されていたと伝えられています。
Upguardによると、これはrsyncクライアントと脆弱なサーバーのIPアドレスを持つ人なら誰でもサーバーに接続し、マシンに保存されている社内文書や顧客データ（かなり機密性が高く、重要なもの）をダウンロードできた可能性があることを意味します。これらのファイルには、自動車製造用のロボット設計図や秘密保持契約書などが含まれていたとされています。
「漏洩した157ギガバイトのデータには、10年以上にわたる組立ラインの概略図、工場のフロアプランとレイアウト、ロボットの構成と文書、IDバッジ申請フォーム、VPNアクセス申請フォーム、そして皮肉なことに、漏洩した情報の機密性を詳述した秘密保持契約書が含まれている」とアップガードチームは主張した。
「すべての顧客についてすべての種類の情報が発見されたわけではありませんが、各顧客にはこれらの種類のデータがいくらか含まれていました。」
1.5 BEEELLIONの機密ファイルがオンラインで公開されているのが発見され、パナマ文書が流出
続きを読む
設計図には、工場のレイアウトや設備の設計に関する詳細な CAD 図や、ロボット設備がどのように動作するように設計されているかを示すアニメーションも含まれていたそうです。
Level One 社は、この件に関してEl Reg 社のコメント要請に応じなかったが、どうやら同社が沈黙を守っているためと思われる。
レベルワンのCEO、ミラン・ガスコ氏はニューヨーク・タイムズ紙に対し、「レベルワンはこれらの疑惑を非常に深刻に受け止めており、データ漏洩の疑いの性質、範囲、そして影響について徹底的な調査に取り組んでいます」と述べた。「調査の完全性を保つため、現時点ではコメントを控えさせていただきます」
しかし、情報漏洩の影響を受けた全員がそれほど心配しているわけではない。フォードの広報担当者はレジスター紙に対し、同社のリスクは最小限にとどまっていると述べた。「フォードが影響を受けていることを示す情報は見つかっていない」と広報担当者は述べた。「このサプライヤーは、契約先の合弁会社の機密情報を扱っておらず、当社に何らかの問題について報告もしていない」
一方、ゼネラルモーターズ、トヨタ、フィアットクライスラー、テスラ、フォルクスワーゲンはコメントを拒否するか、コメントの要請に応じなかった。
何が漏洩したか、誰が所有していたかに関係なく、この侵害は、システム管理者とネットワーク管理者が、パブリックインターネットに漏洩したデータとそのデータをどのようにロックダウンするかについて、細心の注意を払う必要があることを改めて思い出させるものです。
「今回のデータ漏洩はrsyncの脆弱性ではなく、設定ミスによるものであることを指摘しておくことが重要です」と、RedLockのクラウドセキュリティ担当副社長マット・チオディ氏はThe Register紙に語った。「これは、オンプレミスでもクラウドでも、繰り返し発生しているのと同じタイプの管理ミスです。」®
