C
月内に
米国の自動販売機（キオスク）オペレーターが、Google CloudおよびFirebase環境を認証なしで公開していたため、大規模なデータ漏洩が発生しました
📌 一言でいうと
米国の自動販売機（キオスク）オペレーターが、Google CloudおよびFirebase環境を認証なしで公開していたため、大規模なデータ漏洩が発生しました。影響範囲はPokémon Company International、Disney、Best Buyなど28ブランドに及び、20万件以上のメールアドレスや約7万件のクレジットカード情報のハッシュ値、APIキー、ソースコードなどが流出したとされています。攻撃者は217台の関連マシンへのアクセス権を得たことを主張しています。
🔍該当判定
- Google Cloud または Firebase を利用して、自社専用のアプリやWebサービスを運用している
- 店舗などで、顧客が操作する「自動販売機」や「キオスク端末（決済端末）」を導入・運用している
- Firebase のデータベース（Firestore）やストレージを、認証設定なし（公開状態）で利用している
上記いずれにも該当しない → 静観でOK
✅該当時の対応
クラウドストレージ（Firebase, Google Cloud Storage等）のアクセス権限設定を再確認し、パブリック公開設定になっていないか監査すること。また、漏洩した可能性のあるAPIキーの無効化と再発行を推奨します。