Classi：開発者がフィッシングで盗まれた認証情報から学校向けサービスに侵入され、全利用者約122万人分のIDと暗号化されたパスワードが流出

1. 2020-04-05 13:30

   開発者がフィッシング攻撃を受け、GitHubの認証情報を盗まれた。攻撃者はGitHubにあったサービスのソースコードと、その中に含まれていた開発者権限のAWSのアクセスキーを手に入れた。 [4]

2. 2020-04-05 14:06

   攻撃者が盗んだキーで侵入用のサーバーを作った。 [4]

3. 2020-04-05 14:44

   攻撃者がデータベースサーバーのパスワードを変えて入り込んだ。パスワードが変わったためサービスが止まり、警報で社員が異常に気づいた。 [4]

4. 2020-04-05 16:19

   監査ログで外部からの操作を確かめ、悪用されたキーを無効にして侵入用のサーバーを止めた。 [4]

5. 2020-04-05 16:48

   次の攻撃に備え、安全が確かめられるまで全サーバーを止めた。 [4]

6. 2020-04-06 19:30

   社外の専門家と相談し、一定の安全を確保できたとしてサービスを再開した。 [4]

7. 2020-04-13

   全利用者のIDと暗号化されたパスワードが見られたおそれがあると公表した。 [1] [2]

8. 2020-07-24

   第三者から、海外の違法な情報を扱う掲示板に流出したらしいデータが載っていると知らされた。 [4]

9. 2020-07-28

   掲示板からデータが消された。 [4]

10. 2020-07-30

    4月の侵入で盗まれたデータと確かめ、流出を公表した。 [3]

11. 2021-05-11

    発生直後の対応と、その後の対策をまとめて公表した。 [4]

全利用者約1,220,000人分のIDと暗号化されたパスワード、教員が任意で書いた公開用の自己紹介文2,031件が流出した。IDにメールアドレスを使う利用者には、不審なメールに注意するよう呼びかけた。 [1] [2] [3]

掲示板には約1,000万件と書かれていたが、122万件に加え、卒業生などの失効したアカウント、デモ用や機械的に発番されて使われていないアカウント約890万件を合わせた数だとした。 [4]

多要素認証は使っていたが、不審なサイトへのアクセスを防ぐ守りが足りず、フィッシングで認証情報を取られた。ソースコードにAWSのキーが入っていた。 [4]

全利用者のパスワードを変えた。コードからキーを消して発行し直し、権限を絞った。GitHubのアクセス制限と統合認証、キーの混入を防ぐ仕組み、データベースのパスワード変更の検知などを入れた。 [3] [4]