オープンデータベースのクラッシュ：航空保安
目次
2022年6月の今月のアラートは、フライト比較サイトに起因する露出したデータベースです。このアラートは、露出したデータベースから生じるリスクの典型的な例です。外部攻撃対象領域管理（EASM）がなければ、当社のお客様は、データ流出、スミッシング、詐欺、GDPR違反金に気づかぬうちに巻き込まれていたことでしょう。.
6月24日午前8時25分、CybelAngelのプラットフォームは、ある航空券比較サイトのものであるセキュリティ設定の不十分なMongoDBを特定しました。この保護されていないデータベースには、クライアントのキーワードに言及している6つの独立したテーブルが含まれていました。このことは、このデータベースがクライアントの顧客またはパートナーのいずれかであるサードパーティのものであることを示唆していました。クライアントが直面しているリスクをよりよく理解するため、CybelAngelのアナリストであるティボー・エシェヌ（Thibaut Eychene）がアラートの調査に割り当てられました。.
セキュリティ対策が施されていないデータベースは理想的ではありません。
“「セキュリティで保護されていないデータベースは、私たちが頻繁目にする一般的なアラートですが、保護されていないデータベースを調査する際の本当の疑問は、その中身が何であるかということです」とティボーは説明した。サイベルエンジェル（CybelAngel）のホワイトペーパー「”漏洩したとき、ハッカーは侵入する”当社の分析担当者の経験が裏付けているように、設定ミスのあるデータベースやサーバーが情報漏洩の主な原因であることがわかりました。.
IBMによると、セキュリティ対策が施されておらず、誰でもアクセス可能なデータベースが、一般に公開されている機密記録全体の86%を占めている。. “データベースを調査したところ、問題のデータベースは当社のクライアントのものではなく、クライアントのサードパーティのものであることが確認できました。「中にはどのようなデータが入っているのか？」というのが次の大きな疑問でした。短い調査の後、氏名、年齢、出発地と目的地の情報、便名、セキュリティトークン、連絡先情報などのデータが含まれる60件の旅客名簿（PNR）を発見しました。もし私が攻撃者であれば、このデータベースは格好の標的となるため、閉鎖しなければなりません、とティボーは説明する。. 
エドワード・ハズブルック著『ザ・プラクティカル・ノマド（The Practical Nomad）』からのPNRの例。.
GDPRのリスク
リスクについて尋ねられた際、ティボーはまずGDPRコンプライアンスの問題を挙げ、「GDPRは厳格な法律であり、これらの乗客がヨーロッパ市民であるかどうかにかかわらず、EUでビジネスを行うということはGDPRのルールに従うことを意味します。つまり、この比較的小さなエクスポージャーが、数百万ドルの責任リスクを意味する可能性があるのです」と強調しています。“ サイベルアンジェルのアナリストが正しいことが再び証明されました。2019年にはブリティッシュ・エアウェイズで50万人以上の顧客の個人データが侵害され、長期の法廷闘争に発展した結果、英国情報コミッショナー事務所（ICO）から2,000万ポンドの罰金が科されました。航空会社のデータ処理企業であるSITAに対する別の侵害では、複数の航空会社のデータが流出しました。. GDPR以外のリスクについて問われた際、ティボーは脅威アクターの間におけるいくつかの不穏な動向に言及し、「監視の一環としてPNRを収集しようとしているグループが多数存在する。ChimeraやAPT39といったグループをはじめ、その中の情報を使って人々を標的にしている者たちがいる」と述べた。.
PNRにはフライトデータだけでなく、ホテルやレンタカーなどの追加情報も含まれる場合があり、人物の追跡を試みる人々にとって貴重な情報源となります。” “考慮すべきもう一つのリスクは詐欺です。航空券は高価であり、人々は廉売品を探しているため、格好の標的となっています。現在入手可能なものを考えると、脅威アクターが利益を上げるにはある程度の投資が必要になりますが、何らかのフィッシングキャンペーンを通じてそれは可能です、とティボー氏は指摘しました。.
サイベルエンジェル（CybelAngel）の研究によれば“サードパーティエコシステムにおける手探りの状態”」は、「2020年には、偽造チケットや予約変更による不正行為による被害額が$1十億に達した」と指摘している。. “クライアントに実際の危険が存在することが判明した今、次の目標は、この漏洩がどこから発生したのかを突き止め、できる限り多くの情報を収集することです。.
帰属表示は不可欠です
「帰属特定はおそらく私たちの調査において最も重要な部分である」とティボーは強調した。. “弊社のクライアントや連絡担当者は、誰と仕事をしているのか、誰がどのプロジェクトを担当しているのかなどを必ずしも把握しているわけではありません。クライアントを問題箇所へ誘導し、何を修正すべきかを示すことは、修復プロセスの迅速化につながります。.
「その情報を活用して、より強力な契約文言やプロセスを作り上げ、このようなインシデントを防止することができます。単に現在の問題を修正するだけでなく、クライアントが将来の問題を回避する手助けにもなるのです」とティボーは説明した。.
CybelAngelの世界をリードする外部リスク保護プラットフォームは、外部の脅威が悪用されるはるか前にそれを検知し、解決します。2021年にGartner社によって「ベスト・オブ・ブリード（最優秀製品）」に選出されたCybelAngelは、世界中の組織から信頼され、外部脅威の発見、監視、解決を行っています。私たちはインターネットのあらゆるレイヤーでお客様を保護し、重要資産、ブランド、評判の安全を維持します。.
著者について
