研究

2018 年 1 月から 2022 年 6 月までに漏洩した記録は 1 億 5,330 万件に上り、財務データの侵害が発生しました。

2018 年 1 月以来、金融会社は 1,000 件近くのデータ侵害に見舞われ、1 億 5,330 万件以上の記録に影響を与えています。

当社の研究者チームは、2018 年から 2022 年 6 月までのデータを分析し、これらの侵害の最大の原因、毎月および毎年影響を受けた記録の数、最も影響を受けた金融機関、最も多くの財務侵害が発生している米国の州を明らかにしました。

私たちの調査では、何百万人もの人々に影響を与えた侵害を対象としており、その中には個人の金融データの悪用につながり、多くの被害者が多額の損害を被ったものもありました。銀行詳細、社会保障番号、資格情報/パスワード、納税者番号は、悪意のある者が金融機関から盗むデータの種類のほんの一例にすぎません。

2021 年は金融データ侵害が最も発生した年で、2020 年と比べて 12% 増加しました (侵害件数は 233 件から 260 件に増加)。これまでのところ、2022 年は、実行された侵害の数という点では比較的静かであるように見えます (6 月末までに記録された侵害はわずか 37 件です)。ただし、影響を受けたレコード数の中央値は 2018 年以来最高となっており、多くの侵害が発生から数か月後に報告されているため、これらの数字は時間の経過とともに増加する可能性があります。

主な調査結果:

2018 年 1 月から 2022 年 6 月までに 982 件の財務データ侵害
これらの侵害の結果、1 億 5,334,145 件の個人記録が影響を受けました
2021 年は金融侵害が最も多く報告された年で、260 件が報告されました (2 番目に多かった年は 2018 年の 247 件)
2019 年は影響を受けたレコードの数が最も多く、合計 1 億 100 万件を超えました (2021 年は 2 番目に多かったものの、その数は 2,320 万件とはるかに減少しました)。
2019 年の膨大な記録数は主に、1 億件の記録 (支払いとカードの詳細で構成される) が被害者から盗まれた、ノースカロライナ州キャピタルワンの侵害に起因しています。
2022 年は、金融データ侵害の影響を受けた記録数の中央値が (これまでのところ) 最大となる年 - 3,633
最も多くのデータ侵害が発生しているのは保険会社で、次いで銀行と投資会社が続きます。
ハッキングは最も一般的なタイプの侵害であり、侵害の 50% 以上 (982 件中 508 件) を占めました。
ランサムウェア攻撃は金融データ侵害に対する脅威として増大しており、近年大幅に増加しています。

米国の50州すべてがデータ侵害の報告義務、いくつかのバリエーションがあります。たとえば、影響を受けるレコードの数に応じて要件が異なるものもあります。アラスカ州では、1,000 人以上に違反を通知する必要がある場合、消費者報告機関にも通知する必要があります。同様に、受け取ったデータ侵害通知のリストを公開している州も一部の州だけです。したがって、私たちが発見した数字は、金融データ侵害の本当の範囲の表面をなぞっただけである可能性があります。

金融データ侵害が最も多かった年

2021年は金融データ侵害が最大の年で、合計260件発生した。 2018 年も 247 件の侵害が報告され、多数の侵害を記録しましたが、影響を受けた記録の数はわずか 350 万件と最も少なくなりました。

Capital One の 2019 年のデータ侵害で影響を受けた 1 億件の記録を除くと、侵害された記録は 2018 年の 350 万件から 2020 年には 1,830 万件へと年々増加しており、2021 年にはさらに増加して 2,320 万件となります。

同様に、毎年影響を受けるレコード数の中央値を見ると、2018 年から 2019 年にかけて (585 件から 1,433 件へ 145% 増加)、2019 年から 2020 年にかけて (1,433 件から 2,872 件へ 100% 増加) と急激に増加しました。これは、2020 年から 2021 年にかけてわずかに減少しました (1.5% 減の 2,828 件) が、2021 年から 2022 年にかけて 28% 増加しました (3,633 件に増加)。このことは、攻撃のアプローチがより標的を絞ったものになっているように見えるという事実に拍車をかけます。

2022 年の金融データ侵害はどうなるでしょうか?

2022 年の最初の 6 か月間で、37 件の金融データ侵害が報告され、7,056,706 件の記録が影響を受けました。これらの数字は今は小さいように見えるかもしれませんが、今後数か月のうちに数字は増加する可能性があります。それにもかかわらず、私たちの全域で、データ侵害ランサムウェアの報告によると、2022 年には落ち込みが見られます。これはおそらく、より多くの標的型攻撃が実行されていることが原因と考えられます。このことは、Professional Finance Company に対するランサムウェア攻撃からもわかります。650 人以上の医療提供者と被害者の数は増え続けています (190 万人以上) がこの攻撃の影響を受けたと報告されています。

金融会社の種類別のデータ侵害

データ侵害の影響を受けた金融会社の種類ごとにデータを分類すると、標的にされている組織の種類と、これが年ごとにどのように変化したかがわかります。

注意: 企業は主なサービスに基づいて分類されています。たとえば、一部の投資会社は保険契約に関するアドバイスも提供していますが、投資会社として分類されています。

全体として、保険会社は最も重点的に標的にされた組織であり、2018 年以降に当社が追跡したすべての金融データ侵害の 23 パーセント (223 件) を占めています。次いで、銀行 (侵害 170 件) と投資会社 (侵害 162 件) です。しかし、前年比で最も成長しているのは保険会社です。銀行ベースの攻撃は 2020 年にピークに達し、投資攻撃は 2020 年に減少しましたが、2021 年に再び増加しました。

住宅ローン会社も攻撃件数が増加しており、2020年から2021年にかけて33パーセント（15件から20件）増加している。対照的に、貯蓄貸付会社では攻撃件数が年々減少しており、2018年の25件から2018年には11件に減少している。 2021年。

これらの攻撃で影響を受けた記録に関しては、銀行業が最も大きな影響を受けましたが、そのほとんど (1 億 4.7 百万件中 1 億件) は Capital One の侵害によるものでした。保険会社も大量の記録が影響を受けており、当社の報告期間中、約 2,000 万件が影響を受けています。

見てみると、中央値金融機関の種類によって影響を受ける記録は、最も大きな影響を受ける組織が変化します。中央値が最も高いのは仮想通貨（5万3,080社）とインターネット銀行（375万社）だが、これはそれぞれのカテゴリーで攻撃を受けている企業がほんの数社しかないためで、このことが中央値を歪めている。しかし、多数の侵害の中で、影響を受けた記録の中央値が最も多いのは退職金/年金会社であり、22,661 件です。

これは、保険（中央値1,527）、銀行（中央値2,401）、投資会社（中央値1,076）などよりも大幅に高い。そして、これまでに取り上げた他のすべてのカテゴリよりもはるかに高く、会計および税務 (1,999)、証券会社 (4,365)、信用組合 (5,671)、ファイナンシャルアドバイザー (357)、金融テクノロジー (1,103)、住宅ローン会社 (1,928) ）、貯蓄とローン（1,479）。

最も有名な財務データ侵害は 2018 年 1 月から 2022 年 6 月にかけて発生

私たちの調査結果によると、13 件の金融データ侵害があり、100 万件以上の記録が影響を受けています。これらは：

2019 年、ノースカロライナ州キャピタルワン = 1 億件のレコードが影響を受ける: ファイアウォールの設定ミスにより、ハッカーが違法にアクセスし、Capital One クレジットカードユーザー 1 億件の個人情報と銀行情報を入手しました。これにより、侵入者は、Capital One によってアマゾンウェブサービスに保存されているユーザーデータにアクセスすることができました。
2021 年、Cash App Investing, LLC = 820 万レコードが影響を受ける: 元従業員が内部レポートを許可なくダウンロードしたため、Cash App の顧客は個人データを侵害されました。暴露されたデータには、証券口座番号や最近の取引活動が含まれていました。
2020 年、Dave, Inc. = 750 万件のレコードが影響を受ける: 悪意のある当事者が Dave, Inc (個人金融アプリ) に不正アクセスしました。
2020 年、Infinity Insurance Company = 572 万件のレコードが影響を受ける: Infinity Insurance は調査の結果、2 日間にわたってネットワーク内の特定の企業サーバー上のファイルへの不正アクセスを発見しました。
2021 年、Insurance Technologies Corporation = 434 万件のレコードが影響を受ける: Insurance Technologies Corp.は、米国地方裁判所とのデータ侵害集団訴訟で1,100万ドルの支払いを余儀なくされた。同社は顧客情報の適切な保護とセキュリティを怠ったため、個人情報が権限のない者によって悪用されてしまいました。
2022 年、Elephant Insurance Services, LLC = 276 万件のレコードが影響を受ける: エレファント保険は、自社のネットワーク上で異常なアクティビティが行われていると疑った結果、名前、運転免許証番号、生年月日などの消費者情報が自社のネットワークから閲覧またはコピーされた可能性があると判断しました。
2021 年、Lakeview Loan Servicing, LLC = 253 万レコードが影響を受ける: この金融侵害は、レイクビューローンサービシングが影響を受けた消費者に 3 か月間通知しなかったため、大騒ぎを引き起こしました。クラスのメンバーは、個人情報が侵害されるだけでなく、自己負担の費用も発生しました。
2022 年、Professional Finance Company = 190 万件のレコード: 2022 年 2 月にランサムウェア攻撃に見舞われ、債権回収会社プロフェッショナルファイナンスカンパニーは、190 万人以上の患者記録が影響を受けたと米国保健福祉省に報告しました。
2022 年、テキサス州保険局 = 180 万件のレコードが影響を受ける: 同省の Web アプリケーションのコードの不具合により、約 200 万人のテキサス人の個人情報が 3 年近くにわたって暴露され、一般に公開されていました。
2021 年、Horizon Actuarial Services, LLC = 154 万レコードが影響を受ける: このランサムウェア攻撃では、盗まれた情報を削除し、配布したり悪用したりしないことと引き換えに、ハッカーグループに非公開の金額が支払われました。 2 台のコンピュータサーバーが許可なくアクセスされました。
2021 年、Flagstar Bank (サードパーティ Accellion) = 154 万レコードが影響を受ける: Flagstar は、自社のネットワークへの不正アクセスがあったことを認識するまでに 6 か月かかり、その結果、150 万人の顧客が社会保障番号を盗まれました。
2018 年、SunTrust Banks, Inc = 150 万件のレコードが影響を受ける: 元従業員は、名前、住所、電話番号、口座残高、電子メールを含む顧客の連絡先リストの印刷コピーを盗みました。
2020 年、Arthur J. Gallagher & Co. = 114 万件のレコードが影響を受ける: Gallagher は、社内システムに影響を与えるランサムウェアイベントを検出しました。ハッカーは、パスポート、納税者番号、クレジットカード情報、電子署名、ユーザー名、パスワードなどの重要な個人顧客データを入手しました。

これらの最高ランクの金融データ侵害には、ハッキング、ランサムウェア、情報開示、内部関係者による侵害など、さまざまな種類のデータ侵害が含まれていました。使用された最も一般的なデータ侵害の種類については、以下のグラフを参照してください。

データ侵害の最も一般的な方法はハッキングであることが証明されており、侵害の半数以上 (982 件中 508 件) がこの方法で発生しています。ハッキング攻撃は、2019 年から 2020 年にかけて 16 パーセント増加し、2020 年から 2021 年にかけて 30 パーセント以上増加しました。

近年の最大の増加の一部はランサムウェアによるもので、2018 年に 5 件、2019 年に 2 件、2020 年に 17 件、2021 年に 26 件の侵害が発生しました。この種の侵害では、悪意のある攻撃者が金銭の支払いを要求します。盗難されたデータを破壊して返品したり、安全に返品したりする方法が一般的になってきています。これは、ハッカーが「二番底」恐喝戦術を使用している米国のランサムウェア攻撃の継続的な追跡で私たちが指摘したことです。これには、悪意のある攻撃者がシステムを暗号化して組織に壊滅的なダウンタイムを引き起こすと同時に、身代金を要求したり他の場所に販売したりできるデータを盗むことが含まれます。

対照的に、物理的な侵害は減少しており、2020 年と 2021 年には報告がゼロでした。これは、多くの文書がオンライン形式に移行したことを反映しており、便利ではあるものの、これらの文書はハッキングによる悪用のリスクがより高くなります。見る。

金融データ侵害と記録の被害が最も大きかった州トップ 5

米国の州ごとのデータ侵害件数を見ると、カリフォルニア州が最も多く、982 件のデータ侵害のうち 115 件 (ほぼ 12%) を占めていることがわかります。

年と州によって影響を受ける財務データ侵害と記録

州	違反の合計数	影響を受けるレコードの合計数	州の人口	100,000 人あたりの影響を受けるレコードの数	違反の合計数	影響を受けるレコードの合計数	違反の合計数	影響を受けるレコードの合計数	違反の合計数	影響を受けるレコードの合計数	違反の合計数	影響を受けるレコードの合計数	違反の合計数	影響を受けるレコードの合計数
アラバマ州	13	5,830,381	5,039,877	115,685	4	9,429	4	71,488	3	5,733,064	二	16,400	0	0
アラスカ	1	0	732,673	0	0	0	0	0	0	0	1	0	0	0
アリゾナ	7	203,829	7,276,316	2,801	1	0	1	825	1	0	4	203,004	0	0
アーカンソー州	3	503	3,025,891	17	1	0	0	0	0	0	二	503	0	0
カリフォルニア	115	8,733,256	39,237,836	22,257	16	100,272	24	170,707	29	8,025,329	40	263,840	6	173,108
コロラド	15	2,272,681	5,812,069	39,103	3	4	二	1,867	4	28,215	5	323,654	1	1,918,941
コネチカット州	18	220,729	3,605,597	6,122	4	53,865	4	45,624	1	0	8	114,232	1	7,008
デラウェア州	7	2,538,188	1,003,384	252,963	1	752	3	167	二	8	1	2,537,261	0	0
コロンビア特別区	9	156,106	670,050	23,298	1	0	4	5,671	二	14,637	二	135,798	0	0
フロリダ	42	866,384	21,781,128	3,978	13	16,391	8	22,967	7	694,222	14	132,804	0	0
ジョージア	21	3,110,174	10,799,566	28,799	7	1,504,624	5	4,975	6	49,124	3	1,551,451	0	0
ハワイ	3	60,340	1,441,553	4,186	0	0	1	55,840	0	0	二	4,500	0	0
アイダホ州	1	17,438	1,900,923	917	0	0	1	17,438	0	0	0	0	0	0
イリノイ州	57	1,288,539	12,671,469	10,169	15	58,156	7	11,960	16	1,194,196	18	24,227	1	0
インディアナ州	35	886,001	6,805,985	13,018	15	818,357	5	9,603	6	379	8	57,540	1	122
アイオワ州	26	372,257	3,193,079	11,658	6	7,007	7	40,924	3	26,834	10	297,492	0	0
カンザス州	8	191,639	2,934,582	6,530	0	0	1	1,639	3	19,211	4	170,789	0	0
ケンタッキー州	7	37,446	4,509,394	830	二	1,573	1	1,527	1	1,548	二	23,216	1	9,582
ルイジアナ州	6	329,705	4,624,047	7,130	0	0	二	42,385	1	170,426	3	116,894	0	0
メイン州	3	2,914	1,372,247	212	0	0	二	2,038	0	0	1	876	0	0
メリーランド州	30	214,702	6,165,129	3,483	10	3,773	14	121,478	4	1,226	二	88,225	0	0
マサチューセッツ州	41	349,793	6,984,723	5,008	14	274,959	8	8,109	5	19,733	十一	45,039	3	1,953
Michigan	25	1,867,666	10,050,811	18,582	4	4,304	5	65,258	6	94,818	8	1,697,534	二	5,752
ミネソタ州	29	823,154	5,707,390	14,423	8	2,346	5	93,960	8	28,081	7	698,592	1	175
ミシシッピ州	3	21,764	2,949,965	738	1	7,690	1	0	1	14,074	0	0	0	0
ミズーリ州	16	503,865	6,168,187	8,169	4	819	6	11,298	0	0	6	491,748	0	0
モンタナ州	4	1,910	1,104,271	173	二	489	0	0	1	1,311	0	0	1	110
ネブラスカ州	十一	60,318	1,963,692	3,072	6	12,241	3	41,401	0	0	1	3,531	1	3,145
ネバダ州	1	0	3,143,991	0	0	0	0	0	1	0	0	0	0	0
ニューハンプシャー	9	7,517	1,388,992	541	3	298	1	1	1	168	4	7,050	0	0
ニュージャージー	33	304,124	9,267,130	3,282	9	4,244	7	8,269	9	27,533	8	264,078	0	0
ニューメキシコ州	5	242,573	2,115,877	11,464	0	0	0	0	二	0	二	12,825	1	229,748
ニューヨーク	80	916,599	19,835,913	4,621	21	88,364	15	123,973	21	262,105	21	381,850	二	60,307
ノースカロライナ州	18	320,154	10,551,162	3,034	4	105,990	3	2,378	6	21,658	4	190,128	1	0
ノースダコタ	3	6,955	774,948	897	0	0	0	0	1	0	1	6,955	1	0
オハイオ州	29	235,817	11,780,017	2,002	5	106,256	8	23,750	9	10,640	6	91,050	1	4,121
オクラホマ州	8	240,594	3,986,639	6,035	1	7,013	0	0	7	233,581	0	0	0	0
オレゴン	7	8,207,909	4,246,155	193,302	二	1,090	二	3,991	1	0	二	8,202,828	0	0
ペンシルベニア州	48	275,387	12,964,056	2,124	十一	23,356	8	15,048	15	88,615	12	116,249	二	32,119
ロードアイランド	二	547	1,095,610	50	1	262	1	285	0	0	0	0	0	0
サウスカロライナ州	4	58,377	5,190,705	1,125	0	0	0	0	二	11,424	1	28,201	1	18,752
サウス・ダコタ	7	39,824	895,376	4,448	0	0	二	1	4	39,823	0	0	1	0
テネシー州	15	56,080	6,975,218	804	5	4,605	1	1,513	3	12,366	4	37,313	二	283
テキサス州	63	7,594,826	29,527,941	25,721	18	223,320	十一	50,370	18	1,053,993	13	4,438,350	3	1,828,793
ユタ州	13	306,618	3,337,975	9,186	7	2,963	3	23,544	1	220,245	二	59,866	0	0
バーモント州	4	5,596	645,570	867	二	0	二	5,596	0	0	0	0	0	0
バージニア州	38	103,128,306	8,642,274	1,193,301	10	2,637	9	100,199,323	10	146,493	6	17,166	3	2,762,687
ワシントン	15	36,275	7,738,692	469	二	2,560	5	8,341	4	8,310	4	17,064	0	0
ウェストバージニア州	1	5,114	1,782,959	287	0	0	0	0	1	5,114	0	0	0	0
ウィスコンシン州	二十	374,821	5,895,908	6,357	8	28,691	二	223	6	23,302	4	322,605	0	0
ワイオミング州	3	8,450	578,803	1,460	0	0	1	8,450	1	0	1	0	0	0

ニューヨーク州(80)、テキサス州(63)、イリノイ州(57)、ペンシルベニア州(48)が他の4つの最も被害の大きかった州である。ただし、これらはすべて米国で最も人口の多い州の一部であるため、これはおそらくそれほど驚くべきことではありません。

影響を受けるレコードの数に関しては、状況は若干変わります。

影響を受けたレコードの数ではバージニア州がトップとなり、全州で影響を受けたレコードのほぼ 65% (1 億 5,170 万レコード中 1 億 300 万件) を占めています。ただし、そのほとんどは前述の Capital One のデータ侵害によるものです。本社はバージニア州にあるため、記録はこの州に割り当てられますが、全米の住民が影響を受けることになります。

それにもかかわらず、キャピタル・ワンの侵害を無視したとしても、州内でさらに 3,128,306 件が影響を受けているため、バージニア州は依然として影響を受けた記録で 5 位にランクされることになります。

カリフォルニア州は、影響を受けた記録件数が 870 万件で 2 番目に多く、次いでオレゴン州 (820 万件)、テキサス州 (760 万件)、アラバマ州 (580 万件) と続きます。

ジョージア州、デラウェア州、コロラド州、ミシガン州、イリノイ州でも、100万件を超える記録の侵害が記録されました。

言うまでもなく、人口 10 万人当たりの影響を受けたレコード数では、バージニア州が再びトップとなっています。しかし、残りの上位の州を見ると、どの州が金融データ侵害の影響を最も受けた可能性があるかが見え始めました。

デラウェア州は、人口 10 万人当たりの記録侵害件数が 252,963 件で、2 番目に多い記録を記録しています。これに僅差でオレゴン州 (人口 10 万人あたり 193,302 レコードが影響を受ける) とアラバマ州 (10 万人あたり 115,685 レコードが影響を受ける) が続きました。

これら 4 つの州は、人口 10 万人当たり 10 万件を超える影響を受けた記録がある唯一の州でした。たとえば、次に多かったのはコロラド州で、人口 10 万人あたり 39,103 件の記録が影響を受けており、これらの州と比較してどれだけ多くの財務記録が失われたかを示しています。