速報：キングプリンターズの認証情報で生成AI不正利用
ネット印刷通販のキングプリンターズは11月9日、9月10日に検知した不正アクセスの調査結果を発表しました。攻撃者は同社システム基盤の認証情報を不正に使い、生成AIサービスを大量に呼び出していました。
不正利用は9月10日の6時51分から13時44分まで続きました。サービス側が利用制限をかけたことで止まりました。攻撃者は新しい認証情報も作っていました。
何が変わるか： 外部専門機関の調査では、顧客の個人情報、注文データ、機密情報の外部漏えいは11月9日時点で確認されていません。顧客情報を扱うシステムにアクセスしようとした痕跡もありませんでした。データの改ざんや窃取の形跡も見つかっていません。
クレジットカードなどの決済情報は同社サーバーに保持していません。ログインパスワードはハッシュ化して保管しているとしています。
同社は不正に使われた認証情報と、攻撃者が作った認証情報を削除しました。
再発防止策として、固定の認証情報をやめ、一時的な認証情報を必要なときに発行する方法に統一します。クラウド環境の認証情報を棚卸しし、不要なキーの削除と権限の絞り込みも行います。
誰に効くか： キングプリンターズの利用者。発表時点で、顧客情報の漏えいは確認されていません。発表時点の内容です。