UK fines water supplier $1.3M for exposing data of 664k customers

情報コミッショナー事務局は、66万3,887人の顧客と従業員の個人情報を流出させたサイバー攻撃について、サウス・スタッフォードシャー・ウォーター社と親会社のサウス・スタッフォードシャー・ピーエルシー社に96万3,900ポンド（130万ドル）の罰金を科した。

同社は毎日3億3,000万リットルの飲料水を160万人の消費者に供給しており、2022年にIT業務を妨害するサイバー攻撃の標的になったことを公表した。

当時、同社は（当初は被害者を誤認していたが）攻撃を主張したランサムウェア集団Cl0pからの主張を退けたが、流出したデータサンプルは本物だったようだ。

ICOの調査により、流出したデータは確かに本物で、South Staffordshire Water Plcのものであったことが確認され、また侵害が実際に始まったのは2020年9月であったことも指摘された。

“我々は、633,887人の個人情報が抜き取られ、ダークウェブ上で公開された深刻なサイバー攻撃を受けて、South Staffordshire PlcとSouth Staffordshire Water Plc（合わせてSouth Staffordshire社）に963,900ポンドの罰金を科した “とICOの発表には書かれている。

“この攻撃は2020年9月まで遡ることができるが、大部分は2022年5月から7月にかけて行われ、データセキュリティに対する同社のアプローチに重大な欠陥があることを露呈し、顧客と従業員を約2年間無防備な状態に置いた。”

ICOによると、情報漏洩はフィッシング攻撃によって発生し、攻撃者は同社のシステムにマルウェアをインストールすることができた。マルウェアは20ヶ月間発見されないままだった。

2022年5月から7月にかけて、攻撃者はSouth Staffordshire Plcのネットワーク全体で特権をエスカレートさせ、ドメイン管理者アクセス権を獲得した。

侵入が発覚したのは2022年7月で、ITパフォーマンスの問題をきっかけに調査が行われた。

流出したデータには、氏名、住所、電子メールアドレス、電話番号、生年月日、顧客口座情報、銀行口座情報、国民保険番号などの従業員人事データなどが含まれていた。

ICOは、このデータ流出事件につながる、以下のような複数のセキュリティ障害を発見した：

  • 特権の昇格を防止するための不十分なコントロール
  • 監視対象がIT環境の5％程度にとどまっていた
  • Windows Server 2003などの旧式のソフトウェアの使用
  • 脆弱性管理の不備とセキュリティ・パッチの適用漏れ
  • 定期的な内部および外部セキュリティ・スキャンの欠如

これらの不備は英国のデータ保護要件違反にあたるとして、規制当局は罰金を科した。

当初の金額はもっと大きかったが、サウス・スタッフォードシャー社が早期に責任を認め、調査に協力し、上訴せずに和解することに同意したため、ICOは罰金を40％減額した。