ノッティンガム大学のデータ漏洩により、45万人以上の学生が影響を受ける

ノッティンガム大学は水曜日、あるハッカー集団が同大学の学生記録システムに不正アクセスし、在学生と卒業生の両方に影響を及ぼす情報漏洩事件が発生したことを確認した。

ノッティンガム大学は、7,000人の教職員と46,000人以上の学生を擁する公立の研究大学であり、英国国内でトップ20、世界でもトップ100にランクインしている。

同大学は電子メールによる声明で、この事件により「大量のデータ」が流出しており、この侵害事案は英国の情報コミッショナー事務所（ICO）に報告済みであると述べた。

「ノッティンガム大学はサイバーインシデントの被害に遭い、学生記録システム内の大量のデータが、著名なサイバー犯罪グループによってアクセスされました」と同大学は述べた。「現在、プラットフォームを管理する第三者機関と協力し、フォレンジック調査を進めています。」

「当大学は保有するデータのプライバシーとセキュリティを真剣に受け止めており、本件をAction Fraudおよび情報コミッショナー事務所に報告しました」と同大学は付け加えた。

大学側はまだ攻撃の犯行声明を出していないが、サイバー犯罪グループ「ShinyHunters」は火曜日に犯行を認め、証拠として盗まれたとされる文書のアーカイブを公開した。

ダークウェブ上の情報流出サイトに投稿された内容によると、このサイバー犯罪グループは、ノッティンガム大学および同大学のマレーシア・中国キャンパスから、学生の財務データ、請求・支払い情報、クレジットカードおよび決済詳細、キャンパスポータルのエクスポートデータを含む40GB以上の文書を盗んだと主張している

ShinyHuntersはさらに、盗まれた文書には影響を受けた学生の氏名、自宅住所、IPアドレス、電話番号、生年月日が含まれていると付け加えた。

​漏洩データを分析した結果、データ侵害通知サービス「Have I Been Pwned」は水曜日、今回のデータ侵害により45万4,600人の在学生および卒業生が影響を受けており、その中には「メールアドレスに加え、氏名、住所、電話番号、人種、障害の有無、 パスポート番号、および学籍登録や学費支払いに関する情報」が含まれていると発表した。

ShinyHuntersによるPeopleSoftデータ窃取攻撃

最初に報じられた通り、この攻撃は、ShinyHuntersグループが世界中の100を超える組織のクラウドおよびオンプレミスのOracle PeopleSoftインスタンスに侵入し、データを盗み出した大規模なデータ窃取キャンペーンの一環である。

PeopleSoftは、人事、財務、給与計算、サプライチェーン、調達、キャンパス管理などの大規模な業務を管理するために使用されるエンタープライズ向けビジネスソフトウェアスイートである。

ShinyHuntersは、攻撃においてゼロデイ脆弱性と古い脆弱性を組み合わせた「ガジェットチェーン」を使用していると述べ、攻撃がすべてのシステムで成功するわけではないと付け加えた。これは、攻撃の成功が各インスタンスの設定に依存しているためと考えられる。

本メディアは、PeopleSoftのゼロデイ脆弱性が現在悪用されていることをオラクルが把握しているか確認するため同社に問い合わせたが、現時点では回答を得られていない。

ノッティンガム大学は、ここ数日間にデータ侵害を公表した英国の大学としては2校目となる。オックスフォード大学は先週、同大学のキャリアサービスプラットフォーム「CareerConnect」が5月28日に侵害されたことを明らかにしていた。

オックスフォード大学は、ShinyHuntersによるInstructure社の学習管理システム（LMS）「Canvas」への侵入に続き、5月上旬に2件目のデータ侵害を報告していた。