AT&T、7300 万人のアクティブ・再契約加入者のデータ侵害を認める

AT&T の 2024 年 3 月の開示は、通信事業者の顧客アカウント情報流出事例であり、単なる侵害件数の見出しではない。同社は、ダークウェブ上で公開されたデータセットが 2019 年以前のものであり、現行アカウント保持者約 760 万人と過去のアカウント保持者約 6540 万人に影響を与えた可能性が高いと述べた。実務上の問題はアカウント管理層にある。AT&T は現行ユーザーのパスコードをリセットし、影響を受けたアカウント保持者への通知を開始し、社会保障番号の漏洩に関して州の侵害通知精査に直面した。公開記録上、データの出所は未解決のままであるため、最も強力な読み解きは、顧客本人確認データ、パスコードのリセット、不正リスク、インシデントの説明責任であり、攻撃者の帰属ではない。

2024 年 3 月 30 日の AT&T の開示は、長らく論争の的であったデータセットを顧客アカウントのセキュリティインシデントに変えた。AT&T が予備的分析で示したところによると、記録は 2019 年以前のものであり、約 7300 万人の現在および過去のアカウント保持者（現行アカウント約 760 万件、過去のアカウント約 6540 万件）に影響を与えた可能性がある。同社は、自社のシステムに対する不正アクセスの証拠はなく、データが AT&T から流出したのか、それともサプライヤーのいずれかから流出したのかを未だ評価中であると述べた。

アカウント管理のリスクはデータカテゴリにある。AP 通信の報道によると、流出した情報には社会保障番号、パスコード、メールアドレスと住所、電話番号、生年月日が含まれる可能性がある一方、AT&T は、データに財務情報や通話履歴は含まれていないようだと述べた。パスコードは、カスタマーサービス、リテールアカウント管理、オンラインアカウントアクセスで使用されるアカウント PIN であるため重要である。AT&T は、パスコードが漏洩した 760 万人の現行顧客に対して、パスコードのリセットを実施したと発表した。

州の通知記録は消費者保護の視点に焦点を当てている。メイン州司法長官の通知には、AT&T の提出書類として、当該通知の対象者総数は 51,226,382 人、メイン州居住者は 89,842 人、発生および発見日は 2024 年 3 月 26 日、消費者への書面通知日は 2024 年 4 月 10 日、取得データカテゴリに社会保障番号、および 12 か月間の Experian IdentityWorks の提供が列挙されている。この提出書類は、AT&T の 7300 万人のアカウント保持者という推計に取って代わるものではなく、個人情報に関連する規制通知の範囲を示している。

不確実性は可視化されたままである必要がある。BleepingComputer は、データが 2021 年に公表されたより古いデータセットに類似していると報じ、一方、ロイターは、本件が事業に重大な影響を与えていないという AT&T の立場を報じた。公開記録は、アカウント保持者の範囲、パスコードのリセット、機密データリスク、および通知対応を裏付けている。特定の脅威アクター、正確な初期アクセス経路、サプライヤーの責任、最終的な悪用の程度、または規制執行の結果を証明するものではない。