米司法省、Uberの元CSOを起訴--5700万人分の情報漏えいを隠ぺい

　米司法省は、5700万人に影響したデータ侵害を隠ぺいした罪で、Uber Technologiesの元最高セキュリティ責任者（CSO）を起訴した。検察によると、Uberと当時のCSOは、ハッキングがあったことを2016年に知ったが、1年間そのことを公表しなかったという。

Joe Sullivan被告
提供：James Martin/CNET

　隠ぺいについては、2015年4月から2017年11月までUberのCSOを務めたJoe Sullivan被告から直接の指示があったという。Uberがデータ侵害を受けたのは2016年10月のことだった。2人のハッカー、Brandon Charles Glover被告とVasile Mereacre被告は、2019年10月に有罪判決を受けた。この2人は、オンライン学習サイトLyndaへのサイバー攻撃にも関与していた。

　両被告は、名前やメールアドレス、運転免許証番号など、ドライバーと乗客計5700万人に関するデータを盗み、金銭と引き替えにそのデータを削除することで合意した。

　カリフォルニア州などの州では、ハッキングが発生した場合、定められた日数内に公表することが企業に義務付けられているが、Uberはこれに従わず、ハッカーに10万ドルを支払って守秘義務契約書に署名させた。

　Sullivan被告はこの支払いについて、セキュリティ脆弱性を発見した研究者に企業が支払うことが多いバグ発見報奨金扱いにしていた。だが検察側では、報奨金というよりもみ消し料だとしている。

　ハッキングから約1年後、前最高経営責任者（CEO）のTravis Kalanick氏が退任を余儀なくされ、後任としてDara Khosrowshahi氏がCEOに就任してからようやく事件が公表された。Sullivan被告は新CEOにサイバー攻撃について説明したが、ハッカーに盗まれたデータの内容や、ハッカーに金銭を支払った時期については詳細を省いていた。

　その後、同社はSullivan被告を解雇。1億4800万ドルの和解金を支払うことで、全米50州およびコロンビア特別区と合意した。

　被告は司法妨害の罪に問われており、最大5年の禁固刑を科される可能性がある。被告は現在、CloudflareのCSOを務めている。