BMW のセキュリティ侵害により企業の機密情報が露出

BMW の 2024 年 2 月のクラウドストレージ露出は、顧客データ侵害ではなく、シークレット管理と公開バケット制御のインシデントです。TechCrunch と SOCRadar は、BMW の開発環境にある Microsoft Azure でホストされたストレージバケットが一般アクセス可能であり、秘密鍵、Azure コンテナアクセス詳細、クラウドサービス情報、開発/本番データベース認証情報が含まれていたと説明しています。BMW は TechCrunch に対し、影響を受けた開発環境バケットを確認し、顧客データや個人データは影響を受けておらず、問題は 2024 年初頭に解決されたと述べました。インテリジェンスシグナルは、バケットを非公開にすることと、露出した認証情報、キー、下流のクラウドアクセスがローテーション、スコープ、監視されたことを証明することの間のギャップです。

BMW の開示は、自動車ソフトウェア運用の裏にあるクラウド制御プレーンを通して読む必要があります。公開記録は、BMW の開発環境にある Microsoft Azure でホストされたストレージバケットに焦点を当てており、これはパブリックアクセスに設定されていました。SOCRadar は、同社の研究者 Can Yoleri が 2023 年 12 月 18 日のスキャンでバケットを発見したと述べており、TechCrunch は 2024 年 2 月 14 日にこの件を報じました。

露出した要素は顧客レコードとしては説明されていません。TechCrunch は、中国、欧州、米国にある BMW のクラウドサービス用の秘密鍵、ならびに BMW の本番および開発データベースのログイン認証情報を報じました。SOCRadar は、Azure コンテナアクセス情報、プライベートバケットアドレスのための秘密鍵、その他のクラウドサービス詳細を説明しました。BMW は TechCrunch に対し、顧客データや個人データは影響を受けておらず、問題は 2024 年初頭に解決されたと述べました。

この線引きは重要です。なぜなら、リスクは消費者通知によって左右されるものではなく、運用上のものだからです。公開された開発バケットは、環境、リージョン、またはクラウドサービスを結びつけるシークレットを依然として露出させる可能性があります。管理面には、パブリックアクセスポリシー、シークレット保管、認証情報のローテーション、開発/本番分離、クラウドインベントリ、露出監視、ならびに封じ込め後に発見されたキーが再利用できないという証拠が含まれます。

未解決の疑問点もまたシグナルの一部です。公開情報からは、バケットがどのくらいの期間アクセス可能だったのか、どの程度のデータにアクセスできたのか、誰かが露出した要素を利用したのか、すべての認証情報が無効化されたのか、または BMW が周辺の制御を変更したのかは確立されていません。これらの疑問は、企業、研究者、または質の高いセキュリティ情報源による後続の報告を通じて追跡されるべきであり、見出しから埋め込まれるべきではありません。