「Adobe CC」のユーザーデータ750万件が公開　本番データをテスト環境で利用：公式な詳細情報は不明のまま

「Adobe Creative Cloud」のユーザーとAdobe従業員約750万人分のデータが公開状態となっていたことが分かった。この事件により、本番データをテスト環境で使うことの危険性が浮き彫りになったと専門家は指摘する。

　「誤って顧客データをテスト環境で公開状態にしてしまった企業」の最新例に、Adobeが加わった。同社は分散処理型全文検索エンジン「Elasticsearch」を認証なしでアクセスできる状態として公開していた。格納されていたのは、クリエイター向けサブスクリプションサービス「Adobe Creative Cloud」（Adobe CC）のアカウントデータ約750万件だ。具体的にはメールアドレスやID、国、サブスクリプション・支払いのステータス、ユーザー属性（Adobe従業員かどうか）、といった項目を含む。

専門家の見解

　セキュリティ研究者のボブ・ディアチェンコ氏は、2019年10月19日に公開状態のデータベースを最初に発見し、直ちにAdobeに通報した。同社のデータベースが公開状態となっていたことを最初に報じたのは、ディアチェンコ氏の発見に協力していた技術レビューサイトComparitechだ。同社は通報当日、無防備になっていたデータベースを保護したものの、データが閲覧されていたかどうかは不明だ。

　発見当初は、それがAdobeのクラスタ（サーバの集合）であることを示すものは「何もなかった」とディアチェンコ氏は語る。IPアドレスやDNS（ドメインネームサーバ）の逆引き結果などを参照しても、そうしたクラスタとは考えられなかったためだ。だがサンプルデータを分析して調べたところ「Adobeのクラスタであることが確認できた」と同氏は明かす。

　「悪意ある攻撃者がAdobeのデータにアクセスしていたならば、アカウント保有者がAdobeの従業員であるかどうかを識別するデータを使って、Adobe従業員を狙ってフィッシング攻撃を仕掛ける恐れがある」。リスク管理プログラム「Shared Assessments」を運営するSanta Fe Groupで、シニアバイスプレジデントを務めるブラッド・ケラー氏は、そう語る。

不明瞭な公式発表