ソニー、従業員データを流出させたサイバーセキュリティ侵害を開示

「Sony Discloses Cybersecurity Breach Exposing Employee Data」は、記事の証拠、エンティティのコンテキスト、イベントリンク、関係性のコンテキストに基づく公開記録です。

画像提供: Rawpixel via Freepik 最近の開示で、Sony Interactive Entertainment（ソニー）は、現従業員と元従業員数千人に影響を与えたサイバーセキュリティ侵害を確認した。このインシデントは、サイバースパイスリラーのシナリオを思わせるとして注目を集めた。侵害の経緯 ソニーは、許可されていない第三者が MOVEit Transfer プラットフォームのゼロデイ脆弱性を悪用した後に発生したデータ侵害について、約 6,800 人（従業員とその家族を含む）に警告を発した。この深刻な SQL インジェクションの脆弱性は CVE-2023-34362 として特定され、リモートコード実行につながり、Clop ランサムウェアグループによって大規模な攻撃に使用され、世界中の多くの組織に影響を与えた。侵害のタイムラインは注目に値する。2023 年 5 月 28 日に侵入が発生した。しかし、ソニーがそれを知ったのは 3 日後、MOVEit のプロバイダーである Progress Software からだった。ソニーが侵害を検知したのは 6 月初めで、6 月 2 日に不正なダウンロードを発見した。これに対し、同社は直ちにプラットフォームをオフラインにし、脆弱性の修正を行った。さらに、ソニーは外部のサイバーセキュリティ専門家と協力して調査を開始し、直ちに法執行機関に通知した。影響と対応

ソニーは、侵害が特定のソフトウェアプラットフォームに限定されており、社内の他のシステムには及んでいないことを強調した。それにもかかわらず、米国の 6,791 人の個人情報が侵害された。ソニーは、露出した詳細を慎重に特定し、個別の通知書に記載した。情報はメイン州司法長官事務所に提出されたサンプルでは削除されていた。侵害に対応して、ソニーは Equifax を通じて信用監視および個人情報復元サービスを提供している。影響を受けた各個人には、2024 年 2 月 29 日まで有効な固有のコードが届き、これらのサービスにアクセスできる。一連のインシデント 今回の侵害は、ソニーを標的とした一連のサイバーセキュリティインシデントの最新のものである。先月、同社はハッキングフォーラムで、自社のシステムから 3.14 GB のデータが盗まれる侵害を受けたとする主張に直面した。ソニーはこれらの主張について迅速に調査を開始した。流出したデータセットには、SonarQube プラットフォーム、証明書、Creators Cloud、インシデント対応ポリシー、ライセンスを生成するためのデバイスエミュレーターなどの機密情報が含まれていた。ソニーは声明で侵害を確認し、それが日本にある単一のサーバーに関連していることを明らかにした。このサーバーは主に Entertainment, Technology, and

Services（ET&S）事業内の内部テストに使用されていた。幸い、問題のサーバーに顧客やビジネスパートナーのデータが保存されていた証拠は見つからなかった。ソニーの事業への悪影響は報告されていない。