Elasticsearchの設定ミスで数億件の個人情報漏洩-スウェーデン国民の生活が丸裸に|セキュリティニュースのセキュリティ対策Lab

投稿日時: 2025年07月29日更新日時: 2025年07月29日

2025年7月24日、スウェーデン国民および企業に関する膨大な個人・財務情報が、インターネット上で誰でもアクセス可能な状態で放置されていたことが発覚しました。

原因は、認証が設定されていないElasticsearchサーバの誤設定。データ件数は1億件を超え、総容量は200GB以上にのぼるとみられています。

この漏洩は、サイバーセキュリティ調査メディア「Cybernews」が行った定期的なインターネットスキャンにより明らかになりました。

何が漏洩したのか？

今回の漏洩で公開されていたのは、2019年から2024年までの個人および法人に関する詳細なプロファイル情報であり、以下のような情報が含まれていました。

これらは単なる静的な情報ではなく、時系列で記録されたライフログともいえるものであり、対象者の生活・財務状況を詳細に“可視化”できる内容でした。

このデータ群には、「dwh*」という内部的なデータウェアハウス用タグや、金融データ企業Risika社の製品で使われているインデックス命名規則と一致するパターンが含まれていたことから、当初はRisika（リスカ）社の保有するデータである可能性が指摘されました。

Risikaは北欧を拠点とするフィンテック企業で、企業向けに信用スコアやリスク評価を提供しており、正規のライセンス契約の下でサードパーティにデータ提供を行う事業者です。

調査を行ったCybernewsの研究者は、漏洩元のElasticsearchクラスタがRisika自身によって運用されていたものではなく、ライセンスを受けた第三者（下流クライアント）によるものだった可能性が高いと分析しています。

これを受けて、Cybernewsは5月10日にRisikaに通知。翌日には当該クラスタがオフライン化されました。その後、Risika社は「当社の保有するデータとは一致しない」と公式に関与を否定しています。

「当社の初期調査では、報告された情報は当社が保有・保存・アクセスしているものではないことが判明しました。当社のシステムは今回のデータ漏洩の発生源ではないと考えています。」（Risika社スポークスパーソン）

今回の漏洩は、単なる名前や住所の流出に留まらず、個人の財務的信用や生活履歴までをカバーした個人情報が含まれている点で、過去の類似事案と比較しても極めて深刻です。

この情報は本来、銀行や貸金業者、与信調査を行う企業にとっては非常に有用なビジネスインテリジェンスですが、悪意のある攻撃者の手に渡れば、以下のような用途で悪用される可能性があります

また、企業データが含まれていたことから、法人取引の信用調査結果や与信履歴のような“裏情報”が漏れた可能性もあり、企業間取引にも波及する恐れがあります。

参照