### CareerConnectプラットフォームが侵害される 先週、オックスフォード大学は、第三者プロバイダーであるGroup GTIから、同大学が利用するキャリアサービスプラットフォーム「CareerConnect」が侵害されたとの通知を受け、新たなデータ侵害を公表しました。このプラットフォームは、キングス・カレッジ・ロンドンやマンチェスター大学など、他の著名な英国の教育機関も、各機関固有のキャリアハブとして利用しています。 ### 侵害の詳細と漏洩したデータ 侵害は5月28日に発生し、攻撃者はユーザーの氏名、姓、メールアドレス、および暗号化されたパスワードへの不正アクセスに成功しました。これは、認証にSSOを利用しないユーザーに特に影響します。大学によると、CareerConnectにローカルパスワードを設定していた卒業生、研究スタッフ、および雇用者ユーザーのパスワードはGTIによって無効化され、次回のログイン時にリセットが必要になります。 大学は、コース情報、アップロードされたファイル、予約詳細、または財務データがこのインシデントに関与した証拠はないと指摘しています。Group GTIは、この攻撃は主に認証情報の収集を目的としており、その後のフィッシング攻撃に利用される可能性が高いと示唆しています。 ### 大学の対応とシステムの整合性 Group GTIとオックスフォード大学は、学生のパスワードや財務情報がアクセスされた証拠は見つかっていないとしています。大学は、このインシデントはGroup GTIの第三者システムに限定されており、大学の内部システムが侵害された兆候はないと強調しています。 認証情報の窃盗を受けて、大学は職員、学生、および外部のCareerConnectユーザーに対し、標的型フィッシングや詐欺メールの可能性について警告を発しました。大学の広報担当者は、影響の全容を把握するためにGroup GTIと継続的に連絡を取っていることを確認し、これがランサムウェア攻撃であった、あるいは活動の帰属に関する情報はないと付け加えました。 ### 繰り返される課題：Instructure Canvasインシデント これはオックスフォード大学が今年公表した2度目のデータ侵害であり、第三者サービスを介した脆弱性の増大を浮き彫りにしています。5月初旬には、大学はInstructureのCanvasラーニングマネジメントシステム（LMS）に対するShinyHunters恐喝ギャングの侵害の影響を受けており、オックスフォード大学もCanvasを利用しています。 Canvas攻撃の後、ShinyHuntersは世界中の数千の教育機関から2億8000万件のレコードを流出したと主張しました。Instructureはその後、サイバー犯罪グループと合意に達し、盗まれたデータは返却され、破棄が確認されたと報告しました。オックスフォード大学はCanvas侵害の被害者としての立場を確認し、大学自身のシステムは侵害されておらず、漏洩したデータはユーザー名、Canvasメールアドレス、プラットフォームメッセージ、コース名、および登録情報に限定されていたと明確にしました。 これらのインシデントは、ITセキュリティ専門家が、機密性の高い機関データにアクセスできるすべての第三者ベンダーのセキュリティ体制を厳格に審査し、継続的に監視することの極めて重要な重要性を強調しています。