Uber：セキュリティインシデントをガバナンス問題に変えた侵害対応

要約

• 侵入とその対応は別個のアカウンタビリティイベントである。攻撃者は盗んだ認証情報を使って非公開の GitHub ワークスペースに侵入し、平文の AWS アクセスキーを発見し、Uber の S3 環境から暗号化されていないバックアップファイルをダウンロードした。Uber のセキュリティチームはアクセス経路を特定し、数時間以内にパスワードのリセット、二要素認証、キーのローテーションを開始した。その後の開示の失敗は、技術的な発見が遅れた不可避な結果ではなく、重要な事実が既に知られた後になされた決定に起因する。
• 10万ドルの取引は恐喝を調査に変えなかった。攻撃者は既に認可なくシステムにアクセスし、データをコピーし、削除のために金銭を要求していた。Uber の認めた事実関係の声明によれば、同社のポリシーでは、ユーザー情報をダンプするために AWS キーを使用することは許容される調査の範囲外とされていた。第9巡回区控訴裁判所は後に、事後の承認は無許可アクセスを消し去ることはできず、違法行為は NDA によって浄化できないと判断した。
• ガバナンスの失敗は情報伝達の失敗であった。2016年の事件は、当時 FTC の調査下にあった2014年のクラウドキー侵害と極めて類似していた。しかし、その調査を担当していた弁護士たちは新たな事実を知らされず、FTC は不完全な説明を受け続け、新しい最高経営責任者は後に重要な詳細が省略されたり歪曲された要約を受け取った。決定的なコントロールギャップは、単にセキュリティ部門が意思決定の場に参加していたかどうかではなく、セキュリティ、法務、プライバシー、エグゼクティブマネジメント、そして取締役会が、同じインシデントの真実に到達するための必須かつ文書化された経路を持っていたかどうかだった。
• ローカルストレージとグローバルな責任は逆方向に動いた。侵害されたファイルは米国のクラウド環境に保管されていたが、その記録は世界中の乗客とドライバーに関するものだった。米国、英国、フランス、オランダ、オーストラリア、フィリピンの当局は、異なる結論と救済策に達した。データと対応権限を中央集権化しても、法的義務は一元化されなかった。それにより、単一の企業分類が、多数の法域にわたる通知を一度に遅らせることを可能にした。

アクセスが閉じられた後、インシデントはより深刻になった

Uber の事例で最も有益な前提事実は、セキュリティ統制が失敗したことではない。発見後に一部のセキュリティ統制が機能したことである。

2016年11月14日、Uber は攻撃者からの連絡を受け、データベースをダンプしたとの主張を知った。Uber が後に司法省との不起訴合意で認めた事実関係の声明によると、セキュリティチームは約1日以内に、許可されていない人物が非公開のソースコードリポジトリに侵入し、AWS 認証情報を見つけ、それを使用してデータをダウンロードしたと判断した。連絡から数時間以内に、チームはアクセスポイントを封鎖し、パスワードリセットを開始し、GitHub アカウントに二要素認証を確立し、AWS サービスのキーをローテーションした。

これらの行動は重要である。なぜなら、それらが事案を二つに分割するからだ。第一の事象は、許可されていないアクセスとデータの窃取であった。攻撃者はその犯罪に対して直接的な責任を負う。第二の事象は、既知の事実に対する組織的な対応である。すなわち、その事象がどのように命名され、誰に伝えられ、なぜ金銭が支払われ、支払い文書に何が記載され、法執行機関や規制当局に連絡されたかどうか、そして影響を受けた人々がいつ通知を受けたか、である。技術的な不確実性だけでは全体的な遅延を説明できない。認められた記録によれば、チームは、以前の侵害に関係したのと同じ一般的な経路が、約60万件の運転免許証番号を含む、はるかに大規模な抽出につながったことをすぐに知っていた。

セキュリティインシデントは、多くの場合、当初は曖昧なままである。アラートは、エントリではなくスキャン、取得ではなくエントリ、あるいは本番アーカイブではなくテスト記録の取得を表している可能性がある。その不確実性は調査を正当化するが、既に確立された事実を無視する分類を正当化するものではない。ここでは、連絡には証拠が含まれていた。内部調査により、リポジトリからクラウドへの経路が判明した。チームは、大規模なドライバーデータベースがコピーされたことを知った。金銭を要求する人物たちは、そのデータを保持していると述べた。正しい対応には、交渉、封じ込め、削除の努力が含まれる可能性があるが、その事象は脆弱性報告からデータ持ち出しを伴う侵入の一線を越えていた。

この区別は、元々のクラウドセキュリティの仕組みが今ではよく知られているにもかかわらず、なぜこのエピソードが依然として重要なのかを説明する。長期有効なキーがソースコード内に存在していた。リポジトリアクセスは個々のアカウントに依存していた。多要素認証は必須ではなかった。古い認証情報は明らかに再利用可能だった。バックアップデータは、クラウドキーが使用された後、読み取り可能だった。これらはそれぞれ技術的な管理の問題である。しかし、公的な影響が拡大したのは、組織の対応プロセスが、既知の侵害を別のものとして表現することを許したからである。

したがって、成熟したインシデントプログラムは、二つの問いを同時に発するべきである。第一に、無許可アクセスは阻止されたか。第二に、後の全ての決定は、対応室にいなかった人々に対しても依然として正当化できるか。第二の問いは、証拠保全、分類、法務分析、支払い承認、規制上の義務、取締役会へのエスカレーション、コミュニケーションをカバーする。Uber のチームは最初の問いには迅速に進展したが、記録は第二の問いでの破綻を示している。

侵害記録が確立するもの

米国連邦取引委員会（FTC）の2018年改訂版訴状は、米国のデータ経路に関する最も正確な公開説明を提供しており、他方で Uber の後の司法省との合意は、いくつかの中心的事実を主張から企業の自認へと転換した。

攻撃者は、盗んだ認証情報を使用して、GitHub 上の Uber の非公開ワークスペースにアクセスした。FTC は、Uber のエンジニアは通常、個人のメールアドレスに関連付けられた個別の GitHub アカウントを使用しており、Uber には認証情報の再利用を禁止するポリシーがなく、リポジトリアクセスに多要素認証を要求していなかったと主張した。侵入者らは、他の大規模侵害で流出したパスワードを使用したと述べた。非公開リポジトリに入ると、彼らは平文の AWS アクセスキーを発見し、そのキーを使って Uber の Amazon S3 データストアに到達し、2016年10月13日から11月15日までの間に16個のファイルをダウンロードした。

米国の乗客とドライバーについて、FTC は約2,560万件の氏名およびメールアドレス、2,210万件の氏名および携帯電話番号、60.7万件の氏名および運転免許証番号を挙げた。これらはフィールド別の母数であり、単純合計するものではない。一人の人物が複数のグループに該当しうる。訴状はまた、暴露された米国の情報のほぼ全てが2015年7月以前に収集され、暗号化されていないデータベースバックアップファイルに保存されていたとしている。

Uber の2017年11月21日の公開声明は、米国のドライバーを含む全世界5,700万人のユーザーを母数とした。それによると、影響を受けた情報には氏名、メールアドレス、携帯電話番号が含まれ、約60万人の米国ドライバーの運転免許証番号も含まれていた。Uber は、外部のフォレンジック専門家が、移動履歴、クレジットカード番号、銀行口座番号、社会保障番号、生年月日がダウンロードされた形跡はないと判断したと述べた。また、当該インシデントに関連する詐欺や悪用の証拠は確認されていないとも述べた。

これらの否定的な表明には慎重な表現が必要である。それらは、会社の調査によって見つからなかったことについての説明であり、他にコピーが存在しなかったことや、後続の試みが行われなかったことの証明ではない。後の公的機関は、レビューした記録において更なる悪用の証拠は見つけられなかったが、削除の数学的証明を主張したわけではない。例えば、フィリピン国家プライバシー委員会は、その2019年7月の決議において、調査官が表面ウェブ、ディープウェブ、ダークウェブのいずれでも当該データを発見しておらず、即時の被害は見られないと述べた。同委員会は、新たな情報を害することなく、現時点ではこれ以上の通知や措置は不要と判断した。これは限定的な規制上の結論であり、影響を受けた全ての個人に関する普遍的な認定ではない。

フランスのデータ当局は補完的な立場をとった。2018年12月の制裁決定において、CNIL はその時点では報告された損害は確認されていないとしながらも、それが全くの無害を証明するという考えを退けた。攻撃者は識別データを取得しており、したがって後日利用する機会があった。両方の命題は真でありうる。調査官は悪用の証拠を発見できないかもしれないが、会社は攻撃者が削除を約束したからといってあらゆるリスクが終わったことを証明できない。

データセットも誇大視すべきではない。レビューされた公開記録は、移動履歴や支払いカード番号がダウンロードされたファイルに含まれていたことを示していない。全てのグローバルユーザー記録があらゆる記載フィールドを含んでいたことも確立していない。5,700万件のレコードが自動的に5,700万人のユニークな自然人に変換されるわけでもない。また、保管されていた Uber の全データに到達されたことも示していない。責任ある分析は、証拠が裏付ける以上の機微なカテゴリを追加することなく、規模を保持する。

対応失敗のタイムライン

技術的、法的、ガバナンス上の義務がいつ分岐したかを示すため、この流れは中心的な意味を持つ。

2014年の前兆事象は、二つの侵害を一つに統合するために含まれているわけではない。それらは異なるインシデントである。重要なのは、以前の事象が GitHub 上の AWS キー、暗号化されていないドライバーファイル、そしてその後のセキュリティ表明に関する FTC の調査を伴っていた点である。Uber が認めた事実によれば、FTC は2014年1月1日以降、要求への完全な遵守まで、あらゆる侵害または侵害の疑いに関する情報を要求していた。2016年の事象は、法的な空白ではなく、その特定の背景の下で発生したのである。

日付の並びはまた、よくある物語の誤りも明らかにする。支払いは、Uber が攻撃者の確認された身元を知り、削除の保証を得た後にのみ行われたわけではないのだ。司法省の合意によれば、攻撃者は2016年12月に10万ドルを引き出しており、それは身元確認前であり、セキュリティチームのメンバーがデータ削除の確証を得る前であった。攻撃者らによる2019年の有罪答弁の説明は支払日を示しており、彼らが真の名前で合意書に署名したのは、Uber が彼らを1月に特定した後のことだったと述べている。

バグバウンティのラベルは事実を損なった

バグバウンティプログラムは、公開されたルールの下で脆弱性を発見し報告するための、許可されたチャネルである。それは非常に大きな公共的価値を創出しうる。研究者は企業が持ち得ない専門知識を提供し、明確なポリシーは、悪意ある行為者が悪用する前に弱点を報告する経路を彼らに与えることができる。このカテゴリは、認可、善意、被害の最小化に依存するのであり、連絡してくる人物がハッキングの方法を知っているかどうかには依存しない。

Uber が認めた事実関係の声明は、2016年11月時点の境界について異例なほど具体的である。同社のポリシーは、ユーザーに影響を与える脆弱性の報告を募り、責任あるアクセス報告に対する報酬を想定していたが、同時に、ユーザー情報をダンプするための AWS アクセスキーの使用は許容されないと位置付けていた。攻撃者たちは、キーが機能することを証明するに留まらなかった。彼らは非公開システムにアクセスし、大量のアーカイブをコピーし、証拠としてサンプルを送り付け、削除と引き換えに金銭を要求したのだ。FTC による改訂事案の同時期の説明も同様に、悪意を持って弱点を悪用し、数百万の消費者の個人情報を取得した攻撃者から、正当な報奨金受領者を区別していた。

支払い経路はその流れを変えなかった。第9巡回区控訴裁判所による2025年の修正意見（United States v. Sullivan）は、コンピュータ詐欺及び濫用防止法（CFAA）に基づく許可は、アクセス時点で評価されると判示した。裁判所は、後日の NDA が遡及的に侵入を許可できるという主張を退けた。その論理は、正当な研究の両側面を保護する。企業は事後に恐喝を浄化することはできず、また、昨日の許可を遡及的に取り消して善意の研究者を今日犯罪者にすることもできないのである。

現在のHackerOne の開示ガイドラインは、同じ実務上の区別を捉えている。それは研究者に対し、プログラムルールを尊重し、プライバシーを保護し、他者のユーザーデータにアクセスしたり破壊したりすることを避け、許可なく意図的に他者を搾取しないよう求めている。これらの現行ガイドラインは、2016年の Uber に適用された全ての契約条件の証拠ではない。それらが有用なのは、支払い管理に使われるプラットフォームが、根底にある行為の性質を決定しない理由を示しているからだ。

分類が傷つけたのは意味論だけではない。データ窃取がいったん脆弱性報告のワークフローに組み込まれると、組織は誤った承認経路、記録、指標、機密保持前提を適用する可能性がある。報奨金チームは報告を検証して報酬を発行する権限はあっても、侵害通知の決定を行ったり、恐喝者と交渉したり、規制当局に説明を行ったり、刑事証拠を保全したり、6桁の支払いを承認したり、取締役会が知るべきことを決定したりする権限はないかもしれない。

Uber 侵害とバグバウンティプログラムに関する2018年の上院公聴会は、制度的懸念を反映している。問題は、報奨金が存在すべきかどうかではなかった。それは、価値あるセキュリティメカニズムがセキュリティインシデントを隠蔽するために使用されたのか、そしてそのような使用が研究者、企業、公衆の間の信頼を損なう可能性があるかどうか、であった。答えは境界を維持することである。スコープ内で善意による発見は報奨金プロセスに属し、許可されていない取得、強圧的な支払い要求、実質的な消費者への露出は、たとえ同じ報告プラットフォームが最初のメッセージを受け取ったとしても、インシデント対応と法務エスカレーションに属する。

支払いはリスク判断であり、回復の証明ではなかった

組織は時に、開示、修復、回復、削除を支援するために外部の当事者に支払いを行う。会計仕訳上のラベルは、支払いが合法か、慎重か、十分かを解決しない。責任を問われるべき問題は、その決定を取り巻く権限、証拠、安全策は何かということである。

Uber の事例では、支払いはビットコインで10万ドルであり、同社のバグバウンティプログラムを管理する第三者を通じて2回に分けて行われた。攻撃者は守秘と削除に同意した。しかし、NDA は、Uber の担当者が実際には彼らがデータを取得・保存したことを知っていたにもかかわらず、データを取得・保存していないと記載していた。その虚偽の前提が、文書を当該事象の正直な記録として弱体化させた。それは、調査が確立した状況ではなく、会社が真実であってほしいと望んだ状況を描写していたのだ。

削除の約束にも証拠上の限界がある。攻撃者は、可視的なコピーの削除を実演しつつも、別のコピーを保持していたり、データを共有していたり、共犯者のシステムを制御できていなかったりする可能性がある。だからといって、企業が削除の交渉をしてはならないというわけではない。削除の保証は、幾つかある緩和策の一つであり、通知分析、監視、法執行機関との連携、影響を受けた人々への支援の代替ではない。Uber の公開声明は、個人を特定し、破棄の確約を得たと述べている。その後の有罪答弁は、彼らが誰であり、何を認めたかを立証する。いずれも、他にコピーが一切存在しなかったという完全な技術的証明を生み出すものではない。

支払い決定は、少なくとも以下の7つの記録された質問を伴う、部門横断的なゲートをトリガーすべきであった：

1. 許可：当該アクセスは、それが行われた時点で公開された調査ポリシーの下で許可されていたか？
2. データ：何が閲覧、コピー、保持、共有され、各回答を裏付ける証拠は何か？
3. 脅威：その接触は善意の報告か、恐喝要求か、制裁懸念か、進行中の犯罪キャンペーンか、あるいは法執行機関の助言を要する混合か？
4. 権限：金額、支払い経路、契約文言、通常の報奨金限度額に対する例外を誰が承認できるか？
5. 通知：どの人々、規制当局、ビジネスパートナー、保険会社、法執行機関が、迅速な通知を必要とするか、またはそれにより利益を得るか？
6. 証拠：修復が環境を変更する前に、どのログ、通信、ウォレット情報、サンプル、フォレンジックイメージを保存しなければならないか？
7. 保証：封じ込めと削除について実際に何が検証でき、どのような残存不確実性が残るか？

カリフォルニア州の最終判決は、後にこの論理の多くを拘束力のあるガバナンスへと転換した。2018年に登録された判決は、役割、予備連絡先、エスカレーション経路、定期テスト、書面による法的判断、対応措置の文書化を含むインシデント対応及び通知計画を義務付けた。また、セキュリティ担当役員に対し、CEO、最高法務責任者、取締役会への四半期報告を求め、バグバウンティプログラムのようなチャネルを通じてデータセキュリティインシデントを報告した第三者への5,000ドルを超える支払いについても報告対象とした。

その是正措置は示唆的である。問題のある支払いへの回答は、報奨金の全面的禁止ではなかった。それは可視性であった。多額の、あるいはインシデントに関連する支払いは、セキュリティチーム内の孤立した取引のままであってはならない。それは、インシデント、法的結論、証拠、役員報告、修復計画と同じガバナンス記録に現れるべきである。

弁護士が関与していても法的エスカレーションは失敗した

弁護士の存在は、法的エスカレーションが行われたことを証明しない。Uber の記録は、職名よりも組織的ルーティングが重要である理由を示している。

サリバンは最高セキュリティ責任者（CSO）であるだけでなかった。2016年8月までに彼は副法務顧問の肩書も持ち、Uber の FTC 対応に深く関与していた。司法省の合意によれば、Uber は彼を、新たな侵害を知る10日前の11月4日に、S3、暗号化、個人データ保管について証言するよう指名していた。また、FTC の文書による要求は、許可されていないアクセス、どのデータにアクセスできたか、何がコピーまたは削除されたか、いつ消費者、法執行機関その他に通知されたか、を網羅していた。

しかし、FTC 調査を担当していた弁護士たちは2016年の事実を知らされなかった。Uber が認めた記録は、2016年12月の回答草案が、全ての新しいデータベースのバックアップは2014年8月以降暗号化されていたと述べていたことを伝えている。2016年の侵害で取得されたアーカイブは、その日付以降に作成され、かつ暗号化されていなかった。サリバンはその草案を受け取り、アクセス管理が改善されたという説明を議論したが、矛盾するインシデントについてその弁護士に伝えなかった。2017年4月、彼は FTC に調査を終了するよう求める書簡を承認したが、この時も侵害は開示されなかった。

区別すべきは、セキュリティが常に生のインシデントの話を全ての弁護士に開示すべきだということではない。過剰な共有は、調査を損ない、個人データを露出させ、暫定的な事実を結論と混同させる可能性がある。失敗だったのは、進行中の規制要求に直接対応すべき事案が、それに答える責任のある弁護士に届かなかったことである。知る必要性に基づく管理（Need-to-know）が、法的に知る必要性のある人々が事実を知ることを妨げる手段になってしまった。

これは、同じリーダーがセキュリティ運用、調査、法執行機関との関係、法務対応の一部を管轄する場合に常につきまとう構造的リスクである。統合された専門知識は決定を加速しうるが、独立した異議申し立ても除去しうる。事象を分類する人物が、事実、支払い経路、規制当局との接点も管理している場合、別の責任者がその分類を検証する自動的なポイントが存在しなくなるかもしれない。

より良いエスカレーション設計は、一人の判断に依存しない。それは客観的なトリガーを用いる。すなわち、個人データの無許諾な取得の確認、政府発行の識別子、恐喝要求、一定額以上の支払い、以前の規制説明と矛盾する事実、民事調査要求の範囲内にある事案、経営陣向けに作成された重要な要約、などである。いずれか一つのトリガーが、インシデント指揮官、プライバシー弁護士、監督法務担当者、及び直接の対応チェーンの外部の役員への並行的な通知を必要としうる。システムは、各機能がいつ通知され、どのような決定を下したかを記録すべきである。

2017年の新しい CEO の経験は、なぜ要約にも管理が必要かを示している。Uber が認めた事実によれば、チームが作成したブリーフィングでは、許可されていない第三者が、平文で全ての乗客とドライバーのデータを含む可能性のある AWS バケットに到達し、Uber に連絡した時点でもデータを保有していたと注記していた。しかし、後に新 CEO に送られた要約では、これが一部の乗客とドライバーデータへのアクセスに矮小化され、連絡時点での保有が省略され、支払いが身元確認の後に誤って位置づけられていた。取締役会や CEO は、ソフト化された形でのみ受け取ったインシデントを統治することはできない。

したがって、経営陣向けのインシデント要約は、次の5つの交渉不可能な事実を保持すべきである。すなわち、何が確認されたか、最大限に信頼できる範囲、未だ不明な点、どのような外部義務が発動されうるか、そしてどの主張が以前の会社声明と矛盾するか、である。それは簡潔でありうるが、エスカレーションを必要とするまさにその詳細を取り除いてはならない。

遅延した通知はリスクを乗客とドライバーに転嫁した

通知はコンプライアンス上の期限としてしばしば説明される。それは意思決定権の配分でもある。

人々がタイムリーな通知を受け取れば、疑わしいメッセージへの対応方法を変え、アカウントを監視し、自動車管理局に連絡し、悪用の証拠を保全し、本物の企業通信と詐称の試みを見分けることができる。遅延は、これらの選択肢を企業内部に留める。企業は、削除、監視、観測された悪用の少なさによって通知は不要だと考えるかもしれないが、影響を受けた個人は、その事象が発生したことを知らないため、その結論を評価することができない。

露出した連絡先フィールドは、パスワードや支払いカードがなくても実際的な悪用価値がある。氏名にメールアドレスと携帯電話番号が結び付けば、攻撃者に同じ人物へ複数のチャネルで接触する方法を与える。ドライバーという身分は職業上の文脈を提供する。運転免許証番号は耐久性のある政府識別子を追加する。この情報は、説得力のあるメッセージを作成するための調査コストを削減し、アカウント復旧のための探りを支援し、あるいは詐称者がプラットフォームサポートを装うのを助ける。これが悪用コンタクトの経済学である。すなわち、データそれ自体で詐取が完了しなくても、標的を絞った接触をより安価で信憑性の高いものにするのである。

リスクは証拠に基づいて境界を保たねばならない。レビューされた記録は、2016年のファイルに起因するフィッシングやなりすまし詐欺のキャンペーンを立証していない。Uber は、関連する悪用を確認していないと述べ、オーストラリアとフィリピンの当局も、調査した記録の中に更なる悪用の証拠はないと報告した。この分析は能力と失われた防御時間に関するものであり、全ての記録が害を生んだという主張ではない。

政府のガイダンスは、なぜそれらのフィールドが依然重要かを説明している。IdentityTheft.gov の侵害ガイダンスは、窃取者が運転免許情報を使って誰かになりすまそうとする可能性があるとし、関連する自動車管理局への連絡を勧めている。FTC は別途、配送ドライバーやレストランを狙ったサポート詐欺に関する消費者向け注意喚起において、詐称者がアカウントや注文の問題を捏造してメールアドレス、電話番号、銀行口座情報、確認コードを求めようとする可能性があると警告した。その後の警告は、Uber の2016年のデータが使用されたことを証明するものではない。それはプラットフォーム労働市場における同じ低コストの接触チャネルを示している。

Uber が最終的に2017年11月にとった対応は、影響を受けた米国ドライバーに対して個別の通知、クレジットモニタリング、なりすまし対策保護を提供するものだった。同社は規制当局に通知し、追加の詐欺対策としてアカウントにフラグを立てた。これらは具体的な緩和策であり、事象が適切に分類されて初めて会社が提供できる手段を有していたことを示してもいる。1年以上の遅延は、これらの措置を先送りにした。

会社に単一のグローバルな通知時計があったわけではない。米国州法、欧州各国法、オーストラリアのプライバシー原則、フィリピンの規則は、範囲、発動条件、救済策が異なっていた。安全な分析上の結論は、執行記録から得られるのであり、一つの法域の現行法を全ての人に投影することからではない。カリフォルニア州当局は、Uber が必要とされる通りに174,000人以上のカリフォルニア州ドライバーに通知しなかったと主張し、1億4800万ドルの和解で全国的な請求を解決した。最終判決は、裁判や審理を経ることなく、また Uber が申し立てられた事実や責任を認めることなく登録されたと明示している。支払いと拘束力のある差止命令は最終的なものであるが、基礎となる州の主張は裁判で争われてはいない。

データの所在地は責任を現地化しなかった

クラウド環境は米国にあった。人々はそうではなかった。

この事例は、しばしば一つにまとめられがちな所在地の4つの形態を分離する。すなわち、ファイルがどこに保管されるか、運用上の決定がどこでなされるか、影響を受ける人々がどこに住んでいるか、そしてどの法律が適用されるか、である。データを米国にホストされたクラウドサービスに移すことは、最初の問いに答えたが、他の3つには答えなかった。

オーストラリア情報コミッショナー（OAIC）の2021年決定発表は、越境的な取り決めに関する最も明確な公的声明である。OAIC は、推定120万人のオーストラリア人が影響を受け、その情報がグループ内のアウトソーシング取り決めの下で米国のサーバーに直接転送されたと認定した。米国企業は、オーストラリアプライバシー法の適用対象ではないと主張したが、コミッショナーは、米国の Uber Technologies とオランダの Uber B.V.の両方が遵守する必要があると結論付け、プライバシーへの干渉を認定し、ポリシー、プログラム、独立審査を命じた。

フランスは異なる経路を通じて管理の問題に到達した。CNIL の決定は、米国で設計・開発されたグローバルサービス、欧州の管理者として提示されたオランダ法人、現地でのマーケティングとサポートを行うフランス拠点について述べている。同決定は、米国企業とオランダ企業が共同で本質的な目的と手段を決定しており、米国法人が侵害の結果を管理していたことを強調した。決定は、フランス拠点を通じてフランス法を適用し、フランスの約140万人のユーザーに関する40万ユーロのセキュリティ制裁金を課した。これは、実質的支配としてのデータ主権である。契約は重要だが、当局は、誰が実際にサービスを設計し、主要なプロバイダーを選定し、インシデント対応を指揮したかも調査しうる。

英国情報コミッショナー（ICO）の2018年の制裁金通知は、約270万人の英国顧客に対応し、GDPR 前の1998年データ保護法に基づき38万5000ポンドの制裁金を課した。オランダ当局は別途、Uber B.V.と Uber Technologies に対し、通知遅延で60万ユーロを課した。その公表された制裁決定では、オランダでの影響を受けた人数を約174,000人と特定している。Uber の直近のレビューされた2025年フォーム10-Kは、英国、オランダ、フランスの監督当局が2018年後半に合計約160万ドルの制裁金を課したと報告している。

フィリピンの記録は別の境界線を加える。国家プライバシー委員会は当初、Uber の通知内容の詳細を批判し、後に携帯電話番号の記録に基づいて約171,000人のフィリピン人の乗客及びドライバーを報告し、最終的に2019年に、新たな情報がない限り現時点では更なる措置は不要と結論付けた。同委員会はまた、当初米国の暴露として扱われたグループの中にフィリピンの運転免許証1件が含まれており、当該ドライバーには通知済みであることも確認した。グローバルなデータセットは、必ずしも国籍、居住地、電話登録地、文書発行機関によって綺麗に分類されるとは限らない。これらの次元は、異なる通知対象集団を示しうる。

各国の数字はいずれも、全世界の5,700万人の総数に加算すべきではない。それらは異なる法的目的のために作成された管轄区域別のサブセットである。しかし、これらは、中央集権的なインシデント分類がガバナンスリスクを集中させる理由を示してはいる。米国のセキュリティ組織での一つの決定が、複数の法制度にわたる当局や人々が必要とする情報を遅らせた。

防御可能なグローバル対応には、インシデント発生前に所在地レジスターが必要である。すなわち、法的実体、管理者か処理者の役割、保管地域、転送経路、データ主体の居住地、識別子発行国、規制当局、通知トリガー、現地連絡先、である。インシデント発生時には、組織は確認されたフィールドをそのレジスターと照合すべきである。そうすれば、法務チームは、物理的なバケットの所在地が全ての義務を支配していると見せかけることなく、法域固有の決定を下すことができる。

アカウンタビリティは分散されたが、曖昧ではなかった

複雑な組織はしばしば責任を共有されたものと表現する。その言い回しは、それぞれの分担が実際の管理に結び付けられる場合にのみ有用である。

攻撃者

ブランドン・グローバーとヴァシレ・メレアクレは、盗んだ認証情報を使用し、企業の AWS データベースへのアクセスを手配し、機密情報をダウンロードし、削除のために金銭を要求したことを認めた。2人は2019年に、コンピュータを使った恐喝の共謀について有罪を認めた。彼らの行為は、無許可アクセス、窃取、強圧的な要求の直接の原因である。セキュリティの弱点や企業の隠蔽は、その刑事責任を減じるものではない。

ジョセフ・サリバン

連邦陪審は2022年10月、サリバンに対し、FTC 手続の妨害と重罪の不告知（misprision of a felony）で有罪評決を下した。司法省の有罪記録によると、陪審は、彼が情報を厳しく管理し、虚偽の「データなし」表明を含む NDA と支払いを手配し、FTC 調査を担当する弁護士に事象を隠し、後に新経営陣と外部弁護士に事実を偽って伝えたという証拠を審理した。2023年5月、地方裁判所は、司法省の量刑発表に記録されている通り、保護観察3年と罰金5万ドルを言い渡した。

第9巡回区控訴裁判所は2025年3月に両方の訴因を支持し、2025年11月に再審理を却下する一方で修正意見を出した。サリバンは陪審説示、証拠の十分性、証拠に関する裁定に異議を唱えたが、裁判所はそれらを退けた。彼は次に合衆国最高裁判所に上告した。同裁判所のSullivan v. United States の事件記録は、2026年6月29日に裁量上訴を棄却したと記録している。本稿の公開時点で、有罪判決と量刑は維持されている。

この法的結果は、通知判断をめぐって争われたあらゆる最高情報セキュリティ責任者（CISO）のための自動的な刑事責任へと一般化されるべきではない。有罪判決は特定の記録に依存していた。すなわち、係属中の FTC 手続、ハッカーによる重罪の認識、積極的な隠蔽、虚偽の契約文言、不完全な規制情報、そして後の虚偽説明、である。セキュリティリーダーには不確かな報告を調査する余地が必要であり、開示が以前の表明に悪影響を及ぼすからといって、確立された事実を変更する特権を持つわけではない。

Uber Technologies

個人の有罪判決は企業の責任を尽くしたわけではない。2022年7月、Uber は、同社の侵害対応に関する連邦捜査を解決する不起訴合意を締結した。Uber は、事実関係の声明に記載された役員、取締役、従業員、代理人の行為について認め、責任を受け入れた。司法省は、新たなリーダーシップ、2017年の迅速な開示、強化されたコンプライアンス機能、協力、FTC 命令、州との和解を挙げ、Uber が合意を遵守するならば、当該行為について Uber の諸事業体を訴追しないことに合意した。

この解決は、無罪判決でも、企業としての有罪判決でもない。それは、自認と条件に支えられた、検察の裁量の交渉による行使である。それは、修復を認めつつも、組織的役割の中で行われた行為について企業が責任を負うという命題を保持している。

他の経営幹部、弁護士、取締役会

公開記録は、何らかのバージョンのインシデントを耳にした全ての人物を刑事責任があるものとして扱うことを支持しない。第9巡回区控訴裁判所の意見は、サリバンが当時の CEO トラビス・カラニックに、ハッカーたちが契約に署名したと伝えたと述べている。その他の裁判所及び起訴記録には、この件を報奨金プログラムを通じて扱うことについての連絡が含まれている。それらは、カラニックの認識、意図、法的責任についての最終的な裁定を提供するものではなく、彼はこの事件で有罪判決を受けていない。

同様に、セキュリティチームに配属された弁護士は NDA の起草を手伝ったが、FTC 案件を担当する弁護士たちは侵害を知らされていなかった。それらは異なる役割と認識状態である。取締役会によるその後の内部レビューが事象の公表に役立ったが、レビューされた公開記録は、2016年11月と12月に各取締役が何を知っていたかについての、完全かつ同時代的なマップを提供してはいない。

ガバナンスの教訓は、これらのギャップを非難で埋めることではない。それは、知識の非公式な断片への依存を排除することである。この規模の支払い、政府発行識別子の取得確認、規制調査下にある管理経路の繰り返し、そしてフォレンジック上の事実と矛盾する NDA は、それぞれ、独立した法務リーダーシップと取締役会または指定された委員会への、直接的かつログ記録されたエスカレーションを生じさせるべきである。

クラウドおよびリポジトリプロバイダー

公開記録は、GitHub または AWS の基盤プラットフォームの侵害を立証していない。攻撃者は盗んだユーザー認証情報を使って Uber の非公開リポジトリに侵入し、コード内で見つけた Uber の AWS キーを使用した。関連するプロバイダーサービスは認証された動作を実行した。露出したキー、アイデンティティ設定、リポジトリアクセス、読み取り可能なバックアップに対する責任は、規制当局が述べた事実の下では、Uber に帰属する。

プロバイダーの設計は、利用可能な防御策を形成する。AWS は2014年に、不注意に露出したアクセスキーに関するガイダンスを公開しており、キーの削除またはローテーション、アカウントアクセスのレビュー、S3 および CloudTrail 証拠の確認、長期間有効な認証情報を避けるためのロールまたはフェデレーションの使用を推奨していた。現在のAWS IAM ベストプラクティスは、一時的な認証情報、フェデレーション、MFA、最小権限、未使用の許可の削除に向けてさらに進んでいる。現在のガイダンスでは、Uber が2016年のあらゆるワークロードで正確にどの統制を導入できたかを証明することはできないが、2014年のガイダンスは、認証情報のローテーション、ログレビュー、長期間有効なキーの露出削減が、この事象の後に発明されたわけではないことを示している。

救済策が欠けていた統制を明らかにする

執行命令は、罰金の一覧としてではなく、統制マップとして読まれるときに最も有用である。

FTC の最終改訂命令は、個人情報の監視と保護に関する虚偽表示を禁じた。それは、アクセスキー管理、安全なクラウドストレージ、脆弱性報告と報奨金プログラム、予防・検知・対応を網羅する包括的なプライバシープログラムを要求した。また、20年間にわたり2年ごとの独立した評価を義務付けた。さらに、米国法が Uber に対して他政府機関への通知を義務付けた場合、FTC への直接のインシデント報告義務を創設し、報奨金報告書、法執行機関との通信、遵守に矛盾や条件を付す記録の保持を要求した。

FTC の訴状は同意案件として発行された。Uber は、管轄権に関する事実を除き、その主張を認めても否認もしなかった。最終命令は拘束力を持つが、主張は依然として主張と表示されるべきである。この手続上の区別は、運用上のシグナルを弱めるものではない。FTC は当初、2014年の事案についてより狭い解決を提案していたが、2016年の事象を知るや、受諾を撤回し、命令を拡大した。遅延した侵害が、どのような証拠と報告の管理が必要かという規制当局の見解を変えたのである。

州の判決は、セキュリティ担当役員、独立した評価、クラウドバックアップの暗号化要件、リポジトリ管理、インシデント計画、書面による法的判断、取締役会への報告、企業倫理プログラムを追加した。それは、許容されるリポジトリアクセスを、強力で一意のパスワード、MFA または同等の保護、ロックアウト閾値、アクセスログに明示的に結び付けた。また、認証情報に関するトレーニングと懲戒措置も要求した。

外国の決定は追加の次元を提供した。フランスはセキュリティ予防策と事業体間の事実上の管理に焦点を当てた。オランダは通知遅延に焦点を当てた。英国は当時適用されていた法律の下でのセキュリティ障害を審査した。オーストラリアは合理的な保護、保持と廃棄、コンプライアンスシステム、海外の企業配置に焦点を当てた。フィリピンは独自の通知と被害分析を適用し、最終的に、その時点で入手可能な証拠に基づき、更なる措置をとることなく案件を終結させた。

これらの結果は交換可能ではない。それは、法律、証拠、当事者、救済策が異なるからである。これらは全体として、グローバルな侵害対応が、技術的、消費者的、規制的、企業的、刑事的という、複数種類のアカウンタビリティを同時に担わねばならないことを示している。

将来のインシデントのための対応統制モデル

Uber の事例は、制度的真実の保存を中心に組織された実用的なモデルを支持する。

単一のインシデント記録。セキュリティ運用、プライバシー、法務、広報、保険、経営幹部は、当初の観察と後の修正を保存する管理された時系列に基づいて作業すべきである。事実の進展に応じてラベルは変更しうるが、当初の証拠は上書きできない。記録は、確認されたアクセス、疑わしい取得、検証された取得、行為者の主張、企業の推論、未知の事項、を区別すべきである。

二重分類。報告は、脆弱性報告であると同時にセキュリティインシデントでもありうる。弱点の発見は、後の行為が範囲を超えたとしても、技術的な評価に値するかもしれない。インシデントの分類は、受付チャネルではなく、アクセスとデータの事実に基づくべきである。許可されていない取得、強圧的な要求、個人データのサンプルがあれば、事案を報奨金のみの取り扱いから外すべきである。

独立した法務ルーティング。セキュリティチームに組み込まれた弁護士は調査について助言できるが、監督的なプライバシーまたは規制弁護士が、通知と過去の表明を独立に評価すべきである。政府機関の調査、命令、民事要求が未解決の場合、その事項に責任を負う別の弁護士が事実を直接受領すべきである。インシデントリーダーが、当該事象が応答すべきものかどうかを単独で決定してはならない。

支払いガバナンス。研究者、恐喝者、または仲介者への支払いには、経営陣の承認、法務レビュー、財務、該当する場合は制裁スクリーニング、法執行機関との協議、取締役会への報告に結び付いた閾値を設けるべきである。書面による合意は、既知の事実を正確に記述しなければならない。削除条項は、データが取得されなかったと主張すべきではない。企業は、削除の証拠によって何が証明でき、何ができないかを記録すべきである。

管轄区域マッピング。対応チームは、影響を受けたフィールドを、法的実体、人々、規制当局と結び付けるべきである。ある地域での保管は、居住地や適用法令を確定しない。政府発行識別子は、アカウントの地理と同様に、発行管轄への注意を要する。現地通知は、異なる対象集団と内容を必要とする可能性がある。

レッドチームレビュー付き経営陣向け要約。重要な要約が CEO または取締役会に届く前に、対応チェーンの外部の誰かが、それをフォレンジック所見、支払い記録、法的助言と照合すべきである。高範囲の内部所見からより穏当な経営陣向け表現へのあらゆる簡略化は、黙って編集されるのではなく、説明されるべきである。

証拠を保存する封じ込め。パスワードのリセット、キーのローテーション、アクセスの閉鎖は緊急を要するが、ログの保存と調整されるべきである。Uber がこの事象を知る数週間前に公表されたFTC の2016年侵害対応文書は、企業に対し、業務の安全確保、フォレンジックと法務チームの動員、証拠の保存、コミュニケーション計画の作成、侵害通知の提供を助言していた。重要なのは、一般的なガイドが特定の法的義務を決定するということではない。それは、封じ込め、法務助言、証拠、通知が既に並行するワークストリームとして認識されていたことを示している。

測定された報告。取締役会はインシデントの件数以上のものを受け取るべきである。有用な指標には、取得確認からプライバシー弁護士への報告までの時間、監督法務レビューまでの時間、管轄区域マップ作成までの時間、インシデントに関連する支払いの件数と金額、支払いゲートの例外、実施または見送られた通知、見送りの理由、過去の表明との矛盾、期限超過の修復、などが含まれる。指標は情報経路を監査可能にする。

Uber の現在の公開説明は、実質的により構造化されている。同社の2025年フォーム10-K は、CISO がサイバーセキュリティ事項について取締役会と監査委員会に交互の四半期で報告すること、特定のインシデントは四半期ごとに取締役会に報告されること、CISO と最高プライバシー責任者が共同でプライバシー・サイバーセキュリティ協議会の議長を務めること、机上訓練には法務、広報、財務、投資家向け広報が含まれること、法務チームがインシデント開示分析を支援すること、を述べている。これらは現在のプログラムに関する企業の説明であり、全ての統制が効果的に機能していることの独立した証明ではない。それでも、これらは2016年に欠落または迂回された部門横断的な経路を辿っている。

依然として不明な点

公開記録は、中心的な対応失敗に高い確信を持てるだけの詳細さを備えているが、完全ではない。

それは、AWS キーの完全な許可範囲、16ファイル全ての完全なリストとサイズ、到達された全ての S3 バケット、関連する全てのクラウドログ、正確な暗号化と鍵管理の設計を開示していない。また、そのリポジトリ認証情報が一人のエンジニアのものだったのか、複数人だったのか、再使用されたパスワードがどの以前の侵害で露出したのか、自動化されたシークレットスキャンが攻撃者よりも先にキーを発見できたかどうか、も示していない。

それは、全世界5,700万件のレコード全体での確定的なユニーク個人数を提供していない。管轄区域別のカウントは異なる単位とフィルターを使用している。公開記録は、各フィールドを各個人にマッピングしたり、居住国、電話登録、運転免許証、法的実体との関係の全てを解決したりはしていない。

それは、全てのコピーの破棄を技術的に証明していない。また、当該データに関連して結実した下流の詐欺キャンペーンも立証していない。悪用の証拠なしという所見と、残存する不確実性は、並存しなければならない。

それは、全ての内部会話、各ブリーフィングの受領者全員、2016年と2017年における各役員、弁護士、取締役の完全な認識状態を開示していない。刑事評決は、サリバンの2つの訴因における責任を確定する。企業としての不起訴合意は、記載された組織的行為についての Uber の自認と受容された責任を確定する。いずれも、裁定を受けていない人々の犯罪意図について、裏付けのない結論を許容するものではない。

それは、FTC 命令と州命令に基づく全ての独立した評価を公開していない。Uber の現在の証券報告書はガバナンスと認証について述べているが、外部の読み手は、完全なインシデントルーティングプロセス、報奨金支払い記録、評価の例外、修復の証拠を検証することはできない。

最後に、法的記録は動き続けている。最高裁判所がサリバンの上告を棄却したのは、本稿の公開日のわずか11日前である。その棄却は第9巡回区控訴裁判所の判断を確定させるが、検察側の発表の一文一文をインシデント対応の普遍的なルールに変えるものではない。将来の事案では、規制上の義務、証拠、善意の調査事実、支払い状況が異なる可能性がある。

アカウンタビリティの試金石は、対応の中で真実が生き残るかどうかである

当初の侵害は、より強固なリポジトリアイデンティティ、MFA の義務化、ソースコード内の平文で長期有効なクラウドキーの排除、より狭いクラウド許可、暗号化バックアップ、シークレット検知、より優れた監視といった、いくつかのおなじみの方法で防止可能だった。これらの統制は注目に値するが、それが最も特徴的な教訓ではない。

特徴的な教訓は、インシデント対応が第二のインシデントを生み出しうるということである。セキュリティチームはアクセスを閉じる一方で、組織はより大きな法的・ガバナンス上のリスクを開いてしまうかもしれない。支払いは、攻撃者の目先のレバレッジを減らすかもしれないが、証拠と通知に関する不確実性を増大させる。秘密保持契約は、既知の取得を否定するならば、正当な調査を支援するどころか、誤解を招くものになりかねない。知る必要性のルールは、機微な事実を保護する一方で、その事実を必要とする義務を負う弁護士や役員を排除してしまうかもしれない。短い経営陣向け要約は時間を節約する一方で、役員がそれを見る必要があった理由そのものを削除してしまうかもしれない。

したがって、影響の大きい全てのインシデントは、真実保存テストを必要とする。分類は既知の行為と一致しているか？契約はフォレンジック記録と一致しているか？規制当局はその要求に対応する事実を受け取っているか？取締役会は重要な範囲と不確実性を見ているか？影響を受けた人々は自らを守るのに十分な情報を受け取っているか？組織は後日、誰が、どの証拠に基づき、どの権限の下で決定したかを再構築できるか？

Uber の2016年の対応は、そのテストに失敗した。結果は2017年の評判の是正に留まらなかった。FTC は20年間の命令を拡大した。全米50州とコロンビア特別区が1億4800万ドルの解決とガバナンス統制を獲得した。外国当局は、米国に保有されたデータに自国の法律を適用した。Uber は連邦不起訴合意において企業責任を受け入れた。2人の攻撃者が有罪を認めた。元最高セキュリティ責任者は有罪判決を受け、その有罪判決は支持され、最高裁判所の審理は拒否された。

その結果は、事実確認前の即時かつ無差別な開示を要求するものではない。それは並行作業を要求するものである。素早く封じ込めよ。注意深く調査せよ。証拠を保存せよ。行為に従って分類せよ。独立した法務及び経営陣の権限にエスカレーションせよ。現地の義務をマッピングせよ。支払いを管理されたリスク決定として扱え。法律と証拠が要求することを人々と規制当局に伝えよ。不確実性を正直に記録せよ。

組織が技術的には何が起こったかを見ることができるのに、制度的にそれを口に出せないとき、侵害はガバナンスインシデントとなる。統制の目的は、ひとたび事実が知られたならば、いかなるラベル、支払い経路、報告ライン、あるいは気まずさへの恐れも、それらを消し去ることができないようにすることである。