Uberの「100万人分以上の個人情報漏えい事件」はなぜ起こったのか：Uberが個人情報の取り扱いで犯したミス【前編】

　Uberは攻撃者にデータを破棄するよう要請しており、不正アクセス発生後に攻撃者がデータを悪用した形跡はない。OAICは、オーストラリア国民の個人情報を保護する対策を同社が講じていたかどうかに焦点を置いて調査を進めた。

　オーストラリアのプライバシー関連法に従って国民の個人情報を不正アクセスから保護し、データを破棄または匿名化するという対処を、Uberは実施していなかった。「このことから、同社はオーストラリアのプライバシー関連法に違反していると言える」と、OAICで情報コミッショナーを務めるアンジェリン・ファルク氏は語る。Uberは、オーストラリアのプライバシー関連法準拠に必要な手続きやシステムを実装するための措置も講じていなかった。

　この情報漏えいに関するOAICの報告書によると、攻撃者はソースコード共有サービス「GitHub」にあるUberのリポジトリ（ファイルやディレクトリの状態を保存する貯蔵庫）で、クラウドサービス群「Amazon Web Services」（AWS）の資格情報を見つけた。その資格情報を悪用して、クラウドストレージ「Amazon Simple Storage Service」（Amazon S3）から、運転手データなど16個のファイルを不正にダウンロードしたという。これらのファイルはバックアップ用のファイルであり、データ移行用としてUberが自社の標準プロセスを踏まずに作成したものだ。同社はこれらのファイルに暗号化を施していなかった。