インドでのデータ侵害

デジタルセキュリティ企業ジェムアルトの報告によると、2018年にインドで発生したデータ侵害の発生件数は世界で2番目に多かった。 ^{[1] [2]} 6億9000万人を超えるインターネット加入者^[3]を抱え、増加傾向にあるインドでは、民間部門と公共部門の両方でデータ侵害が増加している。^{[4] [5]}以下は、インドで発生した最大規模のデータ侵害の一覧である。

2016年10月、日立ペイメントサービスシステムにマルウェアが注入されたため、インドの大手銀行のデビットカード320万枚が不正使用されたと報じられた^{[6] [7] 。日立はインドでATMと}POSサービスを提供しており、マルウェアによりハッカーはユーザーの口座から金銭を引き出すことができた。NPCI（インド国家決済機構）は、不正取引による損失が約1,300万インドルピー（2016年時点で19万5,000米ドル）に達したと報告した。^{[7] [8]}最も被害が大きかった銀行には、インドステート銀行（SBI）、ICICI、HDFC、YES銀行、アクシス銀行などがある。この侵害は6週間も検知されず、複数の国際銀行が顧客がインドにいる間に中国と米国でカードが不正使用されたと報告した後で初めて銀行に警告が出された。SBIは60万枚のデビットカードをブロックして再発行し、インドの銀行で最大のカード交換の1つになったと報告された。^[9]

2018年初頭、インド政府の身分証明書データベースであるAadhaar （社会保障番号に類似）から、登録済みのインド国民全員の情報が漏洩していると報じられた^{[10] 。情報には名前、銀行口座の詳細、}生体認証データなどの個人情報^{[11]が含まれる。Aadharは、}インドの固有識別機関（UIDAI）が管理しており、生体認証データと人口統計データに基づいて、11億人を超える^{[12] [13} ]居住者またはパスポート所持者が取得する固有の識別番号である。このデータ漏洩は、Wh​​atsApp経由の匿名の販売者がわずかな費用でAadharデータベースへの無制限のアクセスを提供した後に初めて明らかになった。^{[14] [15]インドの新聞}The Tribuneは、電子情報技術省の元職員10万人以上がUIDAIシステムに、したがってAadharデータベースに引き続き自由にアクセスしていると報じた。その後数か月で、別のデータ漏洩が発覚した。国営公益事業会社Indane（LPG）の保護されていないシステムにより、誰でもすべてのAadhar保有者の個人情報にアクセスできたのだ。同社はユーザーアカウントを確認するためにAadharデータベースに無制限にアクセスでき、同社のシステムを介した保護されていないAPIエンドポイントにより、潜在的にすべてのAadhar保有者のデータベースへの不正なクエリが可能になっていた。^[10]間接的だけでなく、200を超える政府ウェブサイトが誤ってデータベースを公開したため、1億3000万人を超える市民のAadhar情報が州政府のウェブサイトを通じて漏洩した。^{[13] [16] [17]} UIDAIは、Aadharデータベースでのデータ漏洩をはっきりと否定している^{[18] [19]}が、不正なデータアクセスがあった安全でないエンドポイントや政府ウェブサイトの多くは、報告後にオフラインにされた。 UIDAIはまた、インド刑法（IPC）第419条、第420条、第468条、第471条に基づき、虚偽の報道をしたとしてトリビューンを提訴した。[20] WEFグローバル^リスクレポートは、アーダールの情報漏洩を世界最大のデータ漏洩とみなした。^[21]

2019年1月、SBIはムンバイのデータセンターにある保護されていないサーバーから、携帯電話番号、口座番号の一部、残高、取引の詳細を含む顧客データを公開しました。 ^{[22] [23]}このサーバーは、SBIの「SBIクイック」サービスをホストしていました。これは、テキストと通話ベースのシステムで、照会する顧客に口座残高、最近の取引、信用情報の更新を提供します。^[22]サーバーはパスワードで保護されておらず、バックエンドのテキストメッセージシステムを通じて顧客固有のメッセージを取得できました。^[23]システムからの送信メッセージは、2か月以上の毎日のアーカイブとともにリアルタイムで利用可能であり、何百万人もの顧客の財務詳細が露出していました。SBIはTechCrunchによる最初の調査後にこの問題を解決しましたが、^[24]銀行は顧客データと財務記録は安全であると報告を否定しました。^[25]

2019年4月、ムンバイを拠点とするローカル検索エンジンJustdialがデータ侵害に見舞われ、約1億人のユーザーの名前、携帯電話番号、メールID、職業、住所などの詳細情報が漏洩した。^{[26] [27] [28]}複数の情報源によると、漏洩は同社の古いウェブサイトとアプリで2015年半ばからアクセス可能な保護されていないAPIエンドポイント^{[29] [30]}によるものだという。Justdialは古いバージョンのアプリで特定のユーザー情報が脆弱であったことを認めたが、ユーザー情報と財務情報はOTP認証システムを通じて検索プラットフォームによって保護されていると述べ、報道をほぼ否定した。^[31]

2019年9月、インド原子力発電公社（NPCI）は、インド最大の原子力発電所であるクダンクラム原子力発電所が、発電所のITネットワークに関する情報を収集するマルウェアの攻撃を受けたことを確認した。^{[32] [33]}この侵害は、Dtrackマルウェアの痕跡を含むデータファイルがサイバーセキュリティ会社のウェブサイトにアップロードされた後に発覚した。^[34] CERT-Indiaは、管理ネットワークに接続された感染したPCでマルウェアを検出した。NPCIは、このマルウェアは、発電所内の重要なシステムを担うOTネットワークにはアクセスできないと主張した。^[35]攻撃者は、この発電所向けに特別にカスタマイズしたこのマルウェアを使用して、以前に発電所のITネットワークに侵入し、管理者の認証情報を盗み、それを使用してマルウェアを通じて発電所のネットワークに関する詳細情報を入手していた。複数の報告によると、このマルウェアは、^{感染したPCにインストールされているブラウザのインターネット検索履歴、登録所有者、登録組織、現在のユーザーなどのローカルオペレーティングシステムのレジストリ情報、PC上のアクティブなプロセスのリストなどの情報[32] [33 ]}を収集するためだけに展開されたとのことです。この情報は、攻撃者によってリモートサーバーから抽出された一時ファイルに書き込まれました。Dtrackマルウェアは、北朝鮮に関連する^[36] Lazarus Groupにまで遡ることができます。

2019年10月、130万件を超えるクレジットカードとデビットカードの記録が、サイバー犯罪者がカード情報を売買するために使用するダークウェブのカードショップJoker's Stashに販売されていました。 ^{[37] [38]}シンガポールを拠点とするGroup-IB社は、データベース内のカードの98％以上が複数のインドの銀行のものであり、各カードが100ドル以上で販売されていることを明らかにしました。^[38]データ侵害により、カード番号、有効期限、CVVが明らかになりました。カード所有者の名前、電子メール、電話番号、住所など、完全に個人を特定できる情報もデータベースで入手できました。^{[37] [39]}カード詳細は、ATMまたはPOS（Point of sale）システムのいずれかにインストールされたスキミングデバイス^[37]、または支払いデータを傍受するためにeコマースWebサイトにJavaScriptコードを挿入するMagecart攻撃によって取得された可能性があります。^[40] 2020年2月には、同様の完全な個人情報を記載した46万枚以上のカードがJoker's Stashで販売され、1枚9ドルで販売された。^[40]この侵害は現在、インターネット上で最大のカードダンプとみなされている。侵害に関する調査はまだ保留中である。

2020年11月、バンガロールを拠点とするオンライン食料品店BigBasketがデータ侵害を受け、2千万人以上のユーザーの詳細が漏洩した。メールID、パスワードハッシュ、PIN、電話番号、住所、生年月日、場所、IPアドレスが含まれていた。^{[41]データ侵害は、データが}ダークウェブで約30万インドルピー（2020年時点で4万ドル）で販売された後に発覚した。 ^[41]侵害の原因は、安全でないSQLファイルで、 SQLインジェクションを使用してハッキングされた可能性があり、15GBを超えるユーザーデータが含まれていた。^[42] Bigbasketは侵害を認め^[43]、バンガロールサイバー犯罪課に訴訟を起こした。侵害は現在調査中である。

2020年5月、バンガロールを拠点とするオンライン学習プラットフォーム「Unacademy」は、1,100万人以上のユーザーのメールデータが侵害されていることを発見したが、財務データ、位置情報、パスワードなどの機密情報は漏洩していなかった。^{[44] [45]}この侵害は、同社の2,000万人のユーザーアカウントがダークウェブで約15万ルピー（2,000米ドル）で販売された後に明らかになった。^{[46] [47]}サイバー犯罪監視会社Cybleは、ユーザーアカウント以外にも、ID、パスワード、参加日、最終ログイン日、メールID、名前、ユーザー認証情報などのユーザーデータも侵害されたと主張した。^{[44] [48]} Unacademyは、データベース全体が侵害に対して脆弱であったかどうかをまだ確認していない。

2021年5月21日、エア・インディアがサイバー攻撃を受け、世界中の約450万人の顧客の個人情報が漏洩したと報じられた。漏洩には2011年8月26日から2021年2月3日の間に登録された個人情報が含まれており、氏名、生年月日、連絡先、パスポート情報、航空券情報、スターアライアンスとエア・インディアのマイレージデータ、クレジットカードデータなどが含まれていた^{[49] [50]。}

2021年5月22日、ジュビラント・フードワークスの子会社であるドミノ・インディアがサイバー攻撃を受け、注文内容、メールアドレス、電話番号、クレジットカード情報など1億8千万件の注文データがダークウェブに流出したと報じられた。ジュビラント・フードワークスは情報セキュリティインシデントが発生したと述べ、ハッカーが金融情報にアクセスしたことを否定した。^[51]

2024年6月、サイバーセキュリティ研究者がラジャスタン州政府の医療システムのサブドメインでデータ侵害を発見し、責任を持って公表した。この侵害はアクセス制御の設定ミスが原因で、機密性の高い医療データが危険にさらされた。システムは脆弱だったが、緩和されるまでは悪用されたという公式報告はなかった。研究者は倫理的慣行に従い、機密データとのやり取りを避け、この問題を国家重要情報インフラ保護センター（NCIIPC）に報告し、センターは速やかにシステムのセキュリティを確保した。^[52]

• シャドウネットワーク
• カテゴリー:米国におけるデータ侵害
• データ侵害
• ウェブスキミング