アーカイブ — US — techcrunch
研究者によると、Home Depotが内部システムへのアクセスを1年間も晒していたと発表
ホームデポの従業員がうっかり、1年間もプライベートアクセス・トークンをオンラインに公開してしまい、内部システムが露出してしまいました。セキュリティ研究者のベン・ツィマーマン氏がこの侵害を発見し、会社に報告しましたが、数週間対応がなかったそうです。TechCrunchの介入により、問題が修正されました。このトークンを通じて、ソースコードや在庫システムなどの重要なインフラへのアクセスが可能でした。
要点
- 社員がGitHubにプライベートアクセストークンを公開し、内部システムが公開された。
- この公開は2024年初頭から約1年間続いていた。
- 研究者のベン・ツィマーマンがそのトークンを発見し、ホームデポに通知を試みたが数週間の間返答はなかった。
- そのトークンは、ソースコードリポジトリやクラウドインフラなどの重要なリソースへのアクセス権を提供していた。
- ホームデポには公式の脆弱性開示プログラムやバグバウンティプログラムが欠如していた。
- 公開された情報は、TechCrunchがホームデポに連絡するまで対応されなかった。
なぜ重要か
- 大規模小売業者におけるサイバーセキュリティの課題が浮き彫りになった事件です。
- このケースは、アクセス トークンの適切な管理を怠ることで生じるセキュリティの脆弱性が増加している傾向を反映しています。
- 脆弱性を報告する枠組みの欠如は、特に2025年に向けて、組織がますますサイバーセキュリティを優先する中で業界の懸念を反映しています。
ホームデポの事件は、潜在的な脆弱性を取り扱い、機密性の高い内部システムへの不正アクセスを防ぐために、堅牢なセキュリティ対策とコミュニケーション戦略の必要性を強調しています。