英国に拠点を置くサイバーセキュリティベンダーのSophosは現在、今週初めに発覚したセキュリティ上の不備について、電子メールで顧客に通知しているところだ。
米ZDNetが入手した、Sophosから顧客に宛てられた電子メールには「Sophosのサポート部門（Sophos Support）に連絡を取った顧客に関する情報を保存するために使用しているツールのアクセス権限に問題があるという報告を2020年11月24日に受け取った」と記されている。
誤って公開されていた情報には、顧客の氏名や電子メールアドレスのほか、電話番号（顧客が提供していた場合）が含まれている。
Sophosの広報担当者は現地時間11月26日にこの電子メールの内容を認め、米ZDNetに対して、影響が及んだのは「ごく一部」の顧客に限られていると述べたものの、そのおおよその人数については語らなかった。
Sophosは、あるセキュリティリサーチャーからこの誤設定についての連絡を受け、報告された問題をただちに修正したと述べた。
同社は、「Sophosは常に、顧客のプライバシーとセキュリティを最優先事項と捉えている。われわれは、影響を受けた全ての顧客に連絡しているところだ」と述べ、「さらに、アクセス権限の設定が永続的にセキュアなものになることを保証するための追加の対策を実装している」と続けた。
Sophosにとって今回の一件は、2020年に入って2度目の大きなセキュリティインシデントとなる。最初のインシデントは4月に発生しており、あるサイバー犯罪グループが「Sophos XG」ファイアーウォールのゼロデイ脆弱性を発見し、世界中の企業に侵入するためにそれを悪用したというものだった。この犯罪グループは当初、トロイの木馬型マルウェアである「Asnarok」を送り込んでいたが、同ゼロデイ脆弱性が公にされ、ホットフィックスがリリースされた後、ランサムウェアの配備に戦術を転換した。しかしその試みは最終的に失敗に終わっている。
提供：supplied by source
この記事は海外Red Ventures発の記事を朝日インタラクティブが日本向けに編集したものです。
