HRプラットフォームのセコイアは、ハッカーが顧客の社会保障番号とCOVID-19データにアクセスしたと発表

福利厚生・給与管理会社セコイアは、ハッカーが社会保障番号やCOVID-19検査結果など顧客の機密情報にアクセスしたと述べている。

先週、セコイアのセキュリティ侵害を最初に報じたWiredによると、このインシデントは、人事・給与計算アウトソーシングサービスを提供するプロフェッショナル雇用組織（PEO）であるセコイア・ワンの顧客に影響を与えたという。このサービスは米国のスタートアップ企業に人気があり、500社以上のベンチャーキャピタル企業と提携しているという。

セコイアは、カリフォルニア州司法長官事務所に提出したデータ侵害通知の中で、9月22日から10月6日までの2週間にわたり、「個人情報を含むクラウドストレージシステムに不正な第三者がアクセスした可能性がある」ことを認識したと述べています。侵害を受けたクラウドシステムには、氏名、自宅住所、生年月日、性別、婚姻状況、雇用状況など、機密性の高い個人データが多数保存されていました。さらに、社会保障番号、福利厚生関連の給与、政府発行の身分証明書、COVID-19の検査結果やワクチン接種カードも含まれていました。

セコイア社は、調査の結果、マルウェア、データ窃盗の試み、あるいは企業システムへの継続的な不正アクセスの証拠は発見されなかったと付け加えた。ハッカーのアクセス権限は「読み取り専用」だったため、顧客データは変更されていないと同社は述べている。

セコイアは、デル・セキュアワークスにフォレンジック調査を委託した結果、「権限のない第三者がデータを不正使用または配布した証拠は見つからなかった」と述べた。セコイアが、どのような情報にアクセスされたか、あるいはどのようなデータが盗み出されたかを特定するためのログなどの技術的手段を有しているかどうかは不明である。

TechCrunchの質問に対し、セコイアは顧客データがどのように漏洩したかについては答えず、また何人の個人データが漏洩したかについても答えなかった。

セキュリティの詳細については、以下をご覧ください。