AWSの設定ミスで顧客情報が閲覧可能状態に（ケアプロ）

予防医療事業と在宅医療事業をプロデュースするケアプロ株式会社は6月4日、同社物流業務の委託先データベースにて顧客情報を第三者が閲覧可能であったことが判明したと発表した。

これは同社の物流委託先が、旧サーバから Amazon Web Service サーバ（AWS）へのデータ移行時に、AWSのストレージにケアプロ社のデータをバックアップとして保管していたが、ストレージを公開設定としていたために第三者が閲覧可能な状態となっていたというもの。ケアプロ社に対し2019年12月11日に、Amazon Web Service から委託先のアカウントの1つが不正利用された可能性について連絡があり、委託先での調査過程で判明した。なお、AWS 及び委託先社内で調査を行ったが不正利用の形跡は無かった。

閲覧可能であったのは、2012年1月18日から2019年12月20日までにケアプロ社でイベント開催した顧客622件のイベント開催場所名、物品送付、返送先住所、物品受渡の担当者名を含む情報。

物流委託先では、クラウドサービスが不正利用されない為にWebサービスが必要最小限の設定になっていること、同じID・PW を他システムで利用しない等見直しを実施、不要なアカウントは即時削除されていることの3点を確認済み。また、全PCから重要情報が漏えいしないよう、ハードディスクが暗号化されていること、全PCにウイルス対策ソフトが導入されていることを確認するとともに、AWS への不正アクセス防御の為に、AWS サポートと連携の上で使用履歴をWeb 画面で確認し、海外で利用されていない事を継続的に確認する。

ケアプロ社では2020年1月9日に、警視庁渋谷警察署生活安全課保安係サイバー担当に経緯を相談済みで、二次被害等が発生した場合には、関係官庁や警察機関と連携を取り対応を進めるとのこと。