SEC：2016年のデータ侵害が違法取引を助長した可能性がある

米国証券取引委員会（SEC）は、2016年に発生したEDGARファイリングシステムのデータ侵害が「取引による不正利益の基盤を提供した可能性がある」と明らかにした。SECは、この侵入によって個人情報は漏洩しなかったものの、企業の機密文書へのアクセスが可能になったため、ハッカーは不正に入手した情報を利用して他の投資家に対して優位に立つことができた可能性があると指摘した。

SECは2016年にこの侵害を発見し、悪用された脆弱性は発見後すぐに修正したと発表しました。しかし、被害はすでに発生しており、SECは声明の中で、この侵入によって誰かが市場取引を行うのに十分なデータを入手した可能性があるという証拠を8月に発見したと述べています。これはEDGARのセキュリティに深刻な疑問を投げかけますが、SECは企業がこのインシデントについてパニックになる必要はないと述べています。SECは次のように述べています。

具体的には、委員会のEDGARシステムのテスト提出コンポーネントにおけるソフトウェアの脆弱性（発見後速やかに修正済み）が悪用され、非公開情報へのアクセスにつながりました。この侵入行為は、個人を特定できる情報への不正アクセス、委員会の運営への危害、またはシステムリスクには繋がらなかったと考えられます。委員長の指示により、直ちに内部調査が開始されました。

これらの問題は、SECがセキュリティ対策の改善点を探るべく調査を進めていた際に発見されました。ジョン・クレイトン委員長はこれらの取り組みについて別途声明を発表し、「サイバー脅威がもたらすリスクの範囲と深刻度は劇的に増大している」と述べ、「侵入から身を守るためには絶え間ない警戒が必要だ」と指摘しました。これはほぼすべての企業に当てはまります。

（比較的）最近のニュースの見出しをいくつか見てみましょう。米国人事管理局は史上最大のデータ侵害に見舞われました。Yahoo!のアカウント5億件が不正アクセスされました。オンラインゲームストア、出会い系サービス、文書管理会社へのハッキングは、数百万人（あるいは数億人）の人々に影響を与えました。そして、さらに追い打ちをかけるように、Equifaxへの最近のハッキングは、1億4,300万人の個人情報の漏洩につながりました。

政府、金融機関、そしてオンライン上で活動するほぼすべての人々が攻撃を受けています。この状況は今後も変わりません。インサイダー取引から個人情報窃盗まで、あらゆる目的に悪用される可能性のあるデータ侵害の深刻化も、今後も変わりません。これらの影響はすぐに感じられる場合もあれば、SECの開示のように、発見に時間がかかる場合もあります。いずれにせよ、事態はまだ始まったばかりであることは明らかです。