インドの自動車大手、タタ・モーターズは、顧客情報を含む内部データの流出を招いた一連のセキュリティの脆弱性を修正したと発表しました。
セキュリティ研究者のイートン・ズヴェア氏は、タタ・モーターズのE-Dukaanユニットにおける脆弱性を発見したとTechCrunchに伝えました。このユニットは、タタ製商用車の部品を購入するための電子商取引ポータルです。
ズヴェア氏によれば、このポータルのウェブソースコードには、Amazon Web Servicesのアカウント内のデータにアクセスし、変更するための秘密鍵が含まれていたということです。
流出したデータには、顧客の名前や住所、インド政府が発行する10桁のPAN番号を含む数十万件の請求書が含まれていたとしています。
また、MySQLデータベースのバックアップやApache Parquetファイルには、顧客の個人情報や通信が含まれていたということです。
AWSの鍵を使って、タタ・モーターズのフリートトラッキングソフトウェアFleetEdgeに関連する70テラバイト以上のデータにアクセスできたとされています。ズヴェア氏は、8,000人以上のユーザーのデータが含まれるTableauアカウントへのバックドア管理者アクセスも発見したと述べています。
これらの問題を発見した後、ズヴェア氏は2023年8月にインドのコンピュータ緊急対応チーム（CERT-In）を通じてタタ・モーターズに報告しました。10月には、タタ・モーターズが最初の脆弱性を修正した後、AWSに関する問題の修正に取り組んでいると伝えられましたが、修正が完了した時期は明示されませんでした。
タタ・モーターズは、2023年に報告されたすべての脆弱性を修正したとTechCrunchに確認しましたが、影響を受けた顧客に通知したかどうかは明らかにしませんでした。
タタ・モーターズのコミュニケーション責任者スディープ・バラ氏は、「報告された脆弱性は2023年に特定され、徹底的にレビューされ、迅速かつ完全に対応されました」と述べています。
「当社のインフラは、主要なサイバーセキュリティ企業によって定期的に監査されており、不正な活動を監視するために包括的なアクセスログを維持しています。また、業界の専門家やセキュリティ研究者と積極的に協力し、セキュリティ体制を強化し、潜在的なリスクをタイムリーに軽減する方針です」とバラ氏は述べています。
