容疑者はAWS元従業員と現地報道、米金融大手で1億件超の個人情報漏洩

米金融大手のキャピタル・ワン・フィナンシャル・コーポレーションは2019年7月29日（現地時間）、顧客の個人情報が外部の個人に不正取得されたことを確認したと発表した。米国で約1億人、インドで約600万人に影響を及ぼしたという。同社は米国を中心にクレジットカード事業などを手掛ける。 漏洩した個人情報は、2005年から2019年初頭までに同社のクレジットカードに申し込んだ消費者や中小企業の氏名、住所、電話番号、メールアドレス、生年月日、自己申告した所得など。一部、社会保障番号や銀行口座番号も漏洩した。クレジットカード番号やログイン情報は流出していないとする。 同社は今回の攻撃に使われた脆弱性を修正済みで、FBI（米連邦捜査局）が容疑者を逮捕している。米ウォール・ストリート・ジャーナルや米ブルームバーグは、米アマゾン・ウェブ・サービス（Amazon Web Services）の元従業員が容疑者だ

[htnmiki]

ミスリードを誘うような書き方だな

[netcraft3]

もう退職しているしAWSの脆弱性を突いたわけではないから前職公開は必要ないと思う

[yoshi-na]

「AWS元従業員」って肩書きの記載がいらん誤解を生んでるな

[mohri]

AWSの従業員という立場を利用して何かしたというわけではなさそう……？

[daybeforeyesterday]

うーむ

[kamei_rio]

"今回利用された脆弱性はクラウドサービス固有のものではない。オンプレミスのデータセンターとクラウドに共通するITインフラの要素の設定に脆弱性があったという" 元従業員じゃなくてもいけた？

[ryunosinfx]

こういった事例を見るいつけ、オンラインに上がったものは必ず漏れる。違いは遅いか早いかだけだ！という確信が強くなるな・・本邦では１件５００円に収束してしまうが・・

[nmcli]

"オンプレミスのデータセンターとクラウドに共通するITインフラの要素の設定に脆弱性があった" ←ベタな例をわざと挙げるとすれば、特定のIPアドレスを無条件に信頼する設計など

[jtw]

顧客の設定情報を知りうる立場だったとしたら関係あるからAWSはその証明が必要になる。

[chestnutking]

CapitalOneはセキュリティと向き合って先進的に取り組んでた印象あるけど、少しでも穴あると・・難しいね。世の中のためにも何が原因だったか、後日公開して欲しい。

[poad1010]

まあ、こういうものは、人間がいる時点で、どうやっても防げないだろうな。 悪さするやつや、環境ってのは、どこにでもある。

[karkwind]

これは、レアケースだろうけど、こういうのがあるから、ベンダーのサービスには、リスクがあるんだよな…。利便性とリスクを天秤にかけるようなものか…

[avalon1982]

“今回利用された脆弱性はクラウドサービス固有のものではない。オンプレミスのデータセンターとクラウドに共通するITインフラの要素の設定に脆弱性があったという。”