---
url: 'https://www.corbado.com/ja/blog/data-breaches-india'
title: 'インド最大のデータ漏洩事件トップ10 [2026年]'
description: 'インドで発生した最大のデータ漏洩事件、インドがサイバー攻撃の標的になりやすい理由、そしてこれらの事件をどのように防ぐことができたかについて解説します。'
lang: 'ja'
author: 'Alex'
date: '2026-05-22T13:20:32.168Z'
lastModified: '2026-05-22T13:21:37.893Z'
keywords: 'インド データ漏洩, インド サイバー攻撃, インド 最大のデータ漏洩 2025, インド ユーザーデータ流出, インド データハッキング, ハッキングされたインド企業'
category: 'Authentication'
---

# インド最大のデータ漏洩事件トップ10 [2026年]

## Key Facts

- インド最大のデータ漏洩には、11億人の居住者に影響を与えた**2018年のAadhaar漏洩**と、8億1500万件の記録を流出させた2023年のICMR漏洩が含まれており、どちらもAPIの脆弱性を悪用したものでした。
- インドは2023年に漏洩したアカウント数で**世界第5位**となり、CERT-In（インド・コンピュータ緊急対応チーム）のインシデント件数は2017年の53,117件から2023年1月から10月の間に132万件へと急増しました。
- インドにおける**データ漏洩の平均被害額**は2023年に218万米ドルに達し、インシデントの22%がフィッシング、16%が認証情報の漏洩によるものでした。
- インドにおける漏洩の大部分は、高度なエクスプロイトではなく、**不適切なAPIセキュリティ**、脆弱な暗号化、およびサイバーセキュリティインフラへの投資不足に起因しています。

## 1. はじめに：なぜデータ漏洩がインドの組織にとってリスクとなるのか？

データ漏洩は、インド全土の組織にとって重大なリスクとして浮上しており、サイバーセキュリティのフレームワークにおける脆弱性を浮き彫りにしています。2023年だけで、インドは漏洩したアカウント数が最も多い国として世界第5位にランクインし、530万のアカウントが侵害されました。これはサイバー脅威の規模と継続性を裏付けています。

インド・コンピュータ緊急対応チーム（CERT-In）によって報告されたインシデントの件数もこの現実を反映しており、2017年の53,117件から2023年1月から10月までの間に132万件へと激増しています。

これらの漏洩による財務的な悪影響は大きく、インドにおけるデータ漏洩の平均被害額は2023年に218万米ドルに達しました。金銭的な損失にとどまらず、漏洩は消費者の信頼を著しく損ない、ブランドの評判を傷つけ、組織の信頼性に回復困難なダメージを与える可能性があります。

インドにおいてフィッシングは依然として最も一般的なサイバー攻撃の手段であり、2023年のインシデントの22%を占め、これに続いて認証情報の漏洩が関与する攻撃（16%）となっています。さらに、不正なネットワークスキャン、プロービング、および脆弱なサービスの悪用が、インドのサイバーセキュリティインシデント全体の80%以上を占めています。

サイバー脅威に対して特に脆弱な業界には、自動車、[通信](https://www.corbado.com/passkeys-for-telecom)、[政府機関](https://www.corbado.com/passkeys-for-public-sector)、および[エネルギー](https://www.corbado.com/passkeys-for-energy)セクターが含まれます。特に自動車セクターは、スマートモビリティAPIや電気自動車の充電インフラへの依存度が高まっているため、著しく影響を受けやすく、非常に脆弱であると認識されています。

この記事では、最近のインドの歴史において最も規模が大きく影響の大きかった10件のデータ漏洩事件を検証し、これらの漏洩の背後にあるメカニズム、その結果、そして組織が将来のサイバー脅威に対する防御を強化するために学ぶべき重要な教訓について探ります。

## 2. なぜインドはデータ漏洩の魅力的な標的になるのか？

世界で最も急成長しているデジタル経済の一つとして、インドは脆弱性の悪用を狙うサイバー犯罪者にとって魅力的な環境を提示しています。インドが大規模なデータ漏洩の標的になりやすい背景には、いくつかの重要な要因があります。

### 2.1 セキュリティを上回る急速なデジタル化の拡大

インドにおけるデジタル技術の導入の驚異的な加速（デジタル[決済](https://www.corbado.com/passkeys-for-payment)、クラウドコンピューティング、広範な[政府機関](https://www.corbado.com/passkeys-for-public-sector)の電子サービスなど）は、ビジネス運営や日常生活を大きく変革しました。しかし、この急速なデジタル成長は、サイバーセキュリティ対策が実施されるペースを頻繁に上回り、重大なセキュリティの空白を生み出しています。多くのインドの組織、特に中小企業（SME）は、セキュリティプロトコルを進化するサイバー脅威に適応させることに苦戦しており、古くなったり不十分なサイバーセキュリティ慣行を通じて広範な脆弱性を生み出しています。その結果、デジタルインフラの急速な拡大は、意図せずしてサイバー犯罪者の機会を増大させ、インドをデータ漏洩の魅力的な標的にしています。

### 2.2 活発なデータのシャドーエコノミー

インドでは、機密性の高い個人情報や財務情報が活発に取引される巨大なシャドーエコノミーが出現しており、基本的なオンライン検索で簡単に見つけられることもあります。歴史的に緩いデータ保護法や一貫性のない法執行がこの状況をさらに悪化させており、内部関係者や外部のサイバー犯罪者に対する抑止力が最小限にとどまっています。このような環境は摘発のリスクを低く見せ、悪意のある攻撃者が盗まれたデータを自由に取引または悪用することを助長し、インドが大規模なデータ漏洩にさらされる危険性を高めています。

### 2.3 重要インフラにおける分断された資金不足のサイバーセキュリティ

[ヘルスケア](https://www.corbado.com/passkeys-for-healthcare)、金融、通信、[政府機関](https://www.corbado.com/passkeys-for-public-sector)を含むインドの重要なセクターは、機密性の高いデータを大量に保持しているにもかかわらず、サイバーセキュリティへの投資が不十分であり、時代遅れのレガシーITシステムに依存していることがよくあります。これらの構造的な弱点は、サイバー犯罪者にとってこれらのセクターを特に魅力的な標的としており、比較的低い障壁で価値の高い情報にアクセスすることを可能にしています。これらの重要な産業全体にわたる分断され資金不足のサイバーセキュリティの現状は、インドがデータ漏洩の被害に遭いやすい大きな要因として残り続けています。

### 2.4 レガシーシステムとサードパーティリスク

インドの機関のかなりの割合が、時代遅れのITインフラに大きく依存し続けており、よく知られ容易に悪用可能なサイバーセキュリティの欠陥に対して無防備な状態にあります。この問題をさらに複雑にしているのが、サードパーティのベンダーや外部で開発されたソフトウェアへの広範な依存であり、これらは十分な審査プロセスや効果的な監視なしに導入されることがよくあります。時代遅れのテクノロジーとサードパーティ関係の管理不足が交差することで、サイバー犯罪者に有利な基盤が提供され、インド全土におけるデータ漏洩の頻度と深刻さの両方を増幅させています。

## 3. インド最大のデータ漏洩事件

以下に、インドにおける最大のデータ漏洩事件のリストを示します。データ漏洩は、影響を受けたアカウント数の多い順に並べられています。

### 3.1 Aadhaar データ漏洩 (2018年)

![Aadhaar ロゴ](https://s3.eu-central-1.amazonaws.com/corbado-cloud-staging-website-assets/Aadhaar_Logo_60d6be9422.png)

| 詳細 | 情報 |
| ------------------------ | ------------------------------------------- |
| 発生時期 | 2018年初頭（2018年1月に公開） |
| 影響を受けた人数 | 約11億人のインド居住者 |
| 漏洩したデータ | - 氏名<br/>- Aadhaar番号<br/>- 銀行口座の詳細<br/>- 生体認証データ（指紋、虹彩スキャン）<br/>- 携帯電話番号<br/>- 住所 |

2018年初頭、インド独自識別番号庁（UIDAI）が管理するインドのAadhaarデータベースで、世界最大規模のデータ漏洩が発生し、約11億人の居住者に影響を与えました。不正アクセスにより、氏名、Aadhaar番号、銀行口座の詳細、携帯電話番号、住所、および指紋や虹彩スキャンなどの生体認証データを含む、広範な個人情報や生体情報が流出しました。この漏洩は、データベースへのアクセス権がわずか500ルピー（約7米ドル）でオンライン上で公然と販売されていることをジャーナリストが報じたことで発覚し、政府機関やサードパーティの公共システムにおけるエンドポイントセキュリティの深刻な欠陥が浮き彫りになりました。調査の結果、セキュリティが不十分なAPIとアクセス制御の欠如といった脆弱性が判明し、UIDAIおよび関連組織内の監視体制とセキュリティフレームワークの不十分さに対して広範な批判が寄せられました。

**予防策:**

- 厳格なアクセス制御とエンドポイントセキュリティのプロトコルを徹底し、安全なAPI管理と定期的な監査を確実に行う。
- 大規模なデータベース内に保存されている機密性の高い生体情報や個人情報に対して、包括的なデータ暗号化とトークン化を導入する。
- Aadhaarデータを取り扱うすべてのサードパーティ機関に対して、定期的な評価や監査を義務付けるなど、厳格なサイバーセキュリティのガイドラインと継続的な監視体制を確立する。

### 3.2 インド医学研究評議会 (ICMR) COVID-19 データ漏洩 (2023年)

![インド医学研究評議会 ロゴ](https://s3.eu-central-1.amazonaws.com/corbado-cloud-staging-website-assets/Indian_Council_of_Medical_Research_Logo_b5233cd44c.png)

| 詳細 | 情報 |
| ------------------------ | ------------------------------------- |
| 発生時期 | 2023年初頭（2023年6月に公開） |
| 影響を受けた人数 | 約8億1500万人 |
| 漏洩したデータ | - 氏名<br/>- Aadhaar番号<br/>- パスポート情報<br/>- 電話番号<br/>- 住所<br/>- COVID-19検査結果 |

2023年初頭、インド医学研究評議会（ICMR）で大規模なサイバーセキュリティインシデントが発生し、約8億1500万人のインド市民の機密データが盗まれました。この漏洩には、氏名、Aadhaar番号、パスポート情報、電話番号、居住地の住所、COVID-19検査結果などの重要な個人情報が含まれていました。サイバー犯罪者はICMRの大規模なCOVID-19検査データの保管庫に侵入し、盗んだデータを主要なダークウェブフォーラムで販売リストに掲載したと報じられており、機密性の高い[ヘルスケア](https://www.corbado.com/passkeys-for-healthcare)情報の保護における脆弱性が浮き彫りになりました。このインシデントは、[ヘルスケア](https://www.corbado.com/passkeys-for-healthcare)および政府機関におけるデータガバナンス、保管慣行、セキュリティプロトコルの重大な弱点を露呈させ、激しい世論の監視とより厳格な規制を求める声につながりました。

**予防策:**

- 機密性の高い健康関連データベース専用の強力な暗号化標準と安全なストレージソリューションを実装する。
- 不正アクセス、異常な活動、潜在的な脆弱性を検出するために、ヘルスケア情報システムを定期的に監査および監視する。
- 機密データベースにアクセスするすべてのスタッフに対して、多要素認証を含む厳格なデータ取り扱いおよびサイバーセキュリティの慣行を徹底する。

### 3.3 BigBasket データ漏洩 (2020年)

![BigBasket ロゴ](https://s3.eu-central-1.amazonaws.com/corbado-cloud-staging-website-assets/Big_Basket_Logo_e8cef3c552.png)

| 詳細 | 情報 |
| ------------------------ | -------------------------------------- |
| 発生時期 | 2020年10月（2020年11月に公開） |
| 影響を受けた人数 | 約2000万人のユーザー |
| 漏洩したデータ | - メールアドレス<br/>- パスワードハッシュ<br/>- PIN<br/>- 電話番号<br/>- 物理的な住所<br/>- 生年月日<br/>- 注文の詳細 |

2020年10月、インドの著名なオンライン食料品配達サービスであるBigBasketで、約2000万人のユーザーに影響を与えるデータ漏洩が発生しました。攻撃者は、メールアドレス、パスワードハッシュ、PIN、電話番号、物理的な住所、生年月日、および詳細な購入履歴を含む機密性の高い顧客情報に不正にアクセスしました。盗まれたデータはその後、ダークウェブの[マーケットプレイス](https://www.corbado.com/passkeys-for-e-commerce)に流出し、サイバー犯罪者に向けて公然と販売されました。この漏洩はBigBasketのインフラストラクチャにおける脆弱性に起因しており、データベースセキュリティ、暗号化の慣行、全体的なサイバーセキュリティの準備不足といったギャップを浮き彫りにしました。このインシデントは、インドで急速に拡大している[Eコマース](https://www.corbado.com/passkeys-for-e-commerce)プラットフォームにおける消費者データの安全性に対する懸念を引き起こし、このセクターにおけるセキュリティ基準の改善を求める声を広く呼び起こしました。

**予防策:**

- パスワードや機密性の高いユーザー認証情報を強力に保護するために、データベースの暗号化とハッシュ化の標準を強化する。
- インフラストラクチャ内の不正アクセスや不審な活動を迅速に特定するための高度な脅威検出システムを展開する。
- 潜在的なエクスプロイトにプロアクティブに対処するために、[Eコマース](https://www.corbado.com/passkeys-for-e-commerce)プラットフォーム上で包括的なセキュリティ監査、脆弱性評価、ペネトレーションテストを定期的に実施する。

### 3.4 SBI データ漏洩 (2019年)

![SBI ロゴ](https://s3.eu-central-1.amazonaws.com/corbado-cloud-staging-website-assets/SBI_Logo_383c6c9eec.jpg)

| 詳細 | 情報 |
| ------------------------ | ----------------------------------- |
| 発生時期 | 2019年初頭（2019年1月に公開） |
| 影響を受けた人数 | 数百万人のSBI顧客 |
| 漏洩したデータ | - 携帯電話番号<br/>- 銀行口座番号（一部）<br/>- 口座残高<br/>- 取引履歴 |

2019年初頭、インド最大の[公的機関](https://www.corbado.com/passkeys-for-public-sector)銀行であるインド国家銀行（SBI）で、機密性の高い顧客情報が流出する重大なデータ漏洩が発生しました。同銀行がホスティングしていた保護されていないサーバーが、オンラインで誰でもアクセスできる状態になっていることが発見され、顧客の携帯電話番号、一部の銀行口座番号、口座残高、詳細な取引履歴などのデータが漏洩していました。このサーバーには適切なパスワード保護と暗号化が欠如しており、誰でも自由に顧客情報を閲覧し、潜在的に悪用することが可能でした。このセキュリティの欠陥は、SBIのデータガバナンス、エンドポイント管理、インフラストラクチャのセキュリティにおける重大な弱点を露呈しました。この漏洩はインドの[銀行](https://www.corbado.com/passkeys-for-banking)セクターにおけるサイバーセキュリティ基準に対する広範な懸念を引き起こし、データ保護の実践と規制による監視の改善が急務であることを強調しました。

**予防策:**

- サーバーとデータベースに対する必須の暗号化、強力なアクセス制御、定期的な監査を含む包括的なセキュリティ標準を適用する。
- 露出している、または保護されていないエンドポイントを迅速に特定するためのリアルタイムの監視および異常検出システムを導入する。
- 厳格なデータガバナンスポリシーを確立し、定期的な脆弱性評価を確実に実施し、すべての[銀行](https://www.corbado.com/passkeys-for-banking)インフラにわたるサイバーセキュリティのベストプラクティスへの厳格なコンプライアンスを徹底する。

### 3.5 Justdial データ漏洩 (2019年)

![Justdial ロゴ](https://s3.eu-central-1.amazonaws.com/corbado-cloud-staging-website-assets/Justdial_logo_e34eff43cc.png)

| 詳細 | 情報 |
| ------------------------ | --------------------------------- |
| 発生時期 | 2019年4月（2019年4月に公開） |
| 影響を受けた人数 | 約1億人のユーザー |
| 漏洩したデータ | - 氏名<br/>- 携帯電話番号<br/>- メールアドレス<br/>- 物理的な住所<br/>- ユーザープロフィールの詳細 |

2019年4月、インドを代表するローカル検索エンジンの1つであるJustdialで、保護されていないAPIエンドポイントによるセキュリティの欠陥が発生しました。この脆弱性により、氏名、携帯電話番号、メールアドレス、物理的な住所、および追加のユーザープロフィールの詳細を含む、約1億人のユーザーに属する機密情報が流出する結果となりました。この漏洩は、独立系のセキュリティ研究者がオープンアクセスのAPIを発見して報告したことで発覚し、JustdialのAPI管理、エンドポイントセキュリティ、および全体的なサイバーセキュリティの慣行における深刻な欠陥が浮き彫りになりました。このインシデントは、適切に保護されていないAPIがもたらすリスクを強調し、基本的なデータ保護対策に対するデジタルプラットフォームの怠慢に対する広範な批判を引き起こしました。

**予防策:**

- 厳格な認証プロトコル、レート制限、およびAPIエンドポイントの継続的な監視を含む、安全なAPI管理の慣行を実装する。
- APIエンドポイントを定期的に監査およびテストし、脆弱性や不正アクセスのポイントをプロアクティブに検出する。
- 顧客データを保護するためのベストプラクティスに対する認識と遵守を確実にするために、厳格なサイバーセキュリティのフレームワークと従業員のトレーニングプログラムを実施する。

### 3.6 Hathway ISP データ漏洩 (2024年)

![Hathway Cable Datacom ロゴ](https://s3.eu-central-1.amazonaws.com/corbado-cloud-staging-website-assets/Hathway_Cable_Datacom_logo_edcf128d64.png)

| 詳細 | 情報 |
| ------------------------ | ------------------------------------ |
| 発生時期 | 2024年3月（2024年4月に公開） |
| 影響を受けた人数 | 約4150万人の顧客 |
| 漏洩したデータ | - 氏名<br/>- メールアドレス<br/>- 電話番号<br/>- 住所<br/>- アカウントの認証情報<br/>- サブスクリプションと請求の詳細 |

2024年3月、インドの大手インターネットサービスプロバイダー（ISP）およびケーブル事業者であるHathwayで、4150万人以上の顧客の個人情報が侵害される大規模なセキュリティ漏洩が発生しました。この漏洩は、Hathwayのコンテンツ管理システム（CMS）の重大な脆弱性が悪用された結果であり、攻撃者が約200GBの非常に機密性の高いユーザーデータにアクセスし、その後漏洩させることを可能にしました。流出した情報には、顧客の氏名、メールアドレス、電話番号、居住地の住所、アカウントの認証情報、包括的なサブスクリプションと請求の詳細が含まれていました。このインシデントは、Hathwayのデジタルセキュリティ、特にWebアプリケーションのセキュリティ対策とCMSの保守に関する不備を浮き彫りにし、顧客の間に広範な懸念を引き起こすとともに、インドの[通信](https://www.corbado.com/passkeys-for-telecom)セクター全体での厳格なセキュリティコンプライアンスを求める声を強めました。

**予防策:**

- セキュリティの欠陥をプロアクティブに検出して修復するために、Webアプリケーションとコンテンツ管理システムの定期的なセキュリティ監査と脆弱性評価を実施する。
- デジタルインフラストラクチャ内に保存されている機密性の高い顧客データを保護するために、堅牢な暗号化標準を採用し、厳格なアクセス制御手段を強制する。
- 不正侵入や異常なデータアクセスパターンを迅速に特定して軽減するために、継続的な監視と脅威検出ソリューションを実装する。

### 3.7 BSNL データ漏洩 (2024年)

![BSNL ロゴ](https://s3.eu-central-1.amazonaws.com/corbado-cloud-staging-website-assets/BSNL_logo_0ffa73a0e5.png)

| 詳細 | 情報 |
| ------------------------ | --------------------------------- |
| 発生時期 | 2024年7月（2024年8月に公開） |
| 影響を受けた人数 | 数百万人のBSNL顧客 |
| 漏洩したデータ | - IMSI番号<br/>- SIMカードの詳細<br/>- サーバーのスナップショット<br/>- 顧客アカウント情報<br/>- ネットワークインフラの詳細 |

2024年7月、インド最大の国営電気通信事業者の一つであるBharat Sanchar Nigam Limited（BSNL）でデータ漏洩が発生し、数百万人のユーザーの機密データが侵害されました。攻撃者はBSNLの内部システムに侵入し、IMSI（国際携帯機器加入者識別）番号、SIMカードの詳細、詳細なサーバーのスナップショット、広範な顧客アカウント情報などの機密情報にアクセスしました。漏洩の直後、これらの盗まれたデータはさまざまなダークウェブの[マーケットプレイス](https://www.corbado.com/passkeys-for-e-commerce)で販売されていることが判明し、SIMスワッピングや標的型フィッシング攻撃といった潜在的な悪用に対する懸念が高まりました。この漏洩は、BSNLのサイバーセキュリティインフラストラクチャ、特に安全なデータストレージ、エンドポイントの保護、およびインシデント対応能力における重大な脆弱性を浮き彫りにし、インドの電気通信業界におけるサイバーセキュリティ基準と慣行の強化を求める声の引き金となりました。

**予防策:**

- 顧客情報、特にIMSI番号やSIMデータのような機密性の高い識別子に対して、厳格な暗号化と安全なストレージソリューションを実施することで、データ保護を強化する。
- 潜在的な脅威を迅速に特定して軽減するための包括的なリアルタイム監視、侵入検知システム、および迅速な対応プロトコルを導入する。
- 脆弱性をプロアクティブに特定して修復するために、電気通信インフラストラクチャ上でサイバーセキュリティの監査とペネトレーションテストを定期的に実施する。

### 3.8 boAt データ漏洩 (2024年)

![boat ロゴ](https://s3.eu-central-1.amazonaws.com/corbado-cloud-staging-website-assets/boat_logo_0fcbcd1053.png)

| 詳細 | 情報 |
| ------------------------ | ------------------------------------ |
| 発生時期 | 2024年2月（2024年3月に公開） |
| 影響を受けた人数 | 約750万人のユーザー |
| 漏洩したデータ | - 氏名<br/>- 住所<br/>- 電話番号<br/>- メールアドレス<br/>- 購入履歴 |

2024年2月、インドの著名な家電およびライフスタイルブランドであるboAtでサイバーセキュリティインシデントが発生し、750万人以上の顧客の機密個人データが流出しました。攻撃者は同社のデータベースに侵入し、顧客の氏名、居住地の住所、電話番号、メールアドレス、購入履歴などのユーザー情報への不正アクセスを獲得しました。この漏洩は、データベースの暗号化、安全な顧客データの取り扱い、インシデント検出能力に関するboAtのデータセキュリティ慣行の重大な欠点を示しました。流出した情報により、アイデンティティ盗難、フィッシング、標的型詐欺に対する顧客の脆弱性が高まり、インドで急速に拡大する家電市場における消費者データの保護に対する広範な懸念が引き起こされました。

**予防策:**

- 顧客データベースに厳格な暗号化プロトコルを採用し、漏洩が発生した場合でも、機密性の高い個人情報や取引情報が確実に保護されるようにする。
- 不正アクセスの試みを迅速に特定して対応するための包括的な脅威検出とリアルタイムの監視システムを導入する。
- サイバーセキュリティの監査、脆弱性評価、およびペネトレーションテストを定期的に実施し、サイバー脅威に対する準備と回復力を強化する。

### 3.9 Unacademy データ漏洩 (2020年)

![Unacademy ロゴ](https://s3.eu-central-1.amazonaws.com/corbado-cloud-staging-website-assets/Unacademy_logo_d3127ff661.png)

| 詳細 | 情報 |
| ------------------------ | --------------------------------- |
| 発生時期 | 2020年1月（2020年5月に公開） |
| 影響を受けた人数 | 約1100万人のユーザー |
| 漏洩したデータ | - メールアドレス<br/>- ユーザー名<br/>- ハッシュ化されたパスワード<br/>- アカウント登録日<br/>- ユーザーのアクティビティログ |

2020年1月、インド最大のオンライン学習プラットフォームの1つであるUnacademyで、1100万人以上のユーザーに影響を与えるサイバーセキュリティ漏洩が発生しました。サイバー攻撃者は、メールアドレス、ユーザー名、ハッシュ化されたパスワード、アカウント登録日、詳細なユーザーのアクティビティログなどの機密性の高いユーザーデータへの不正アクセスを獲得しました。侵害されたデータはその後ダークウェブ上で発見され、悪意のある攻撃者に積極的に販売されていました。調査により、Unacademyのセキュリティプロトコル、特にパスワードのハッシュ化手法、データベースの保護、インシデント検出プロセスに脆弱性があることが判明しました。このインシデントは、インドの新興エドテックセクターにおけるデータプライバシーとセキュリティの慣行に関する重大な懸念を提起し、サイバーセキュリティ対策を強化する緊急の必要性を強調しました。

**予防策:**

- ソルト技術と組み合わせた堅牢なハッシュアルゴリズムを利用してユーザーのパスワードを保護し、ブルートフォース攻撃やクレデンシャルスタッフィング攻撃から防御する。
- 不審な活動や不正なデータベースアクセスを迅速に特定するための高度な脅威検出システムとリアルタイムの監視を確立する。
- 組織のサイバーセキュリティの態勢と準備を継続的に改善するために、日常的なセキュリティ評価、ペネトレーションテスト、従業員のトレーニングを実施する。

### 3.10 テランガーナ州警察 Hawk Eye アプリ データ漏洩 (2024年)

![テランガーナ州警察 ロゴ](https://s3.eu-central-1.amazonaws.com/corbado-cloud-staging-website-assets/Telangana_Police_Logo_858b9f94c9.png)

| 詳細 | 情報 |
| ------------------------ | ------------------------------- |
| 発生時期 | 2024年6月（2024年7月に公開） |
| 影響を受けた人数 | 約20万人の市民 |
| 漏洩したデータ | - 電話番号<br/>- 居住地の住所<br/>- 氏名<br/>- 事件報告の詳細<br/>- ユーザーが提出した苦情 |

2024年6月、市民が事件や犯罪を報告するために設計されたテランガーナ州警察の「Hawk Eye」モバイルアプリケーションで重大なサイバーセキュリティ漏洩が発生し、約20万人のユーザーの個人データが侵害されました。攻撃者はアプリのバックエンドインフラストラクチャ内の脆弱性を悪用し、氏名、電話番号、居住地の住所、詳細な事件報告やユーザーが提出した苦情などの機密性の高いユーザー情報に不正にアクセスしました。サイバーセキュリティチームと法執行機関による調査の結果、加害者は無事逮捕されました。このインシデントは、モバイルアプリケーションのセキュリティにおける重大な欠陥を浮き彫りにし、特に政府が運営するデジタルサービスにおける厳格なデータ保護とセキュリティ基準の必要性を強調しました。

**予防策:**

- 脆弱性をプロアクティブに特定するために、包括的なコードレビュー、安全なAPI設計、日常的なペネトレーションテストを含む厳格なアプリケーションセキュリティの慣行を実装する。
- 政府運営のアプリケーション内における機密性の高い市民データの保護を確実にするために、厳密なアクセス制御と暗号化プロトコルを実施する。
- サイバーセキュリティインシデントの迅速な検出、封じ込め、および対応を可能にするリアルタイムの監視および脅威検出メカニズムを展開する。

## 4. インドのデータ漏洩における共通のパターン

2026年までにインドで発生した最大のデータ漏洩を分析すると、これらの漏洩に共通するいくつかの観察事項に気づきます。

### 4.1 APIおよびエンドポイントの不十分なセキュリティ

多くの漏洩、特にAadhaar、Justdial、およびHawk Eyeアプリのインシデントは、セキュリティが不十分なAPIと脆弱なエンドポイントに起因していました。APIは多くの場合、適切な認証、認可、およびレート制限のメカニズムを欠いており、権限のないユーザーが機密性の高いデータに簡単にアクセスできるようになっていました。急速なデジタル展開で見落とされがちなエンドポイントのセキュリティは、攻撃者が顧客や市民の情報に広範にアクセスするための経路を作り出しました。組織は、これらのリスクを軽減するために、厳格な認証手段、定期的な脆弱性テスト、およびエンドポイントのセキュリティ慣行を通じてAPIのセキュリティを優先する必要があります。

### 4.2 サイバーセキュリティインフラへの投資不足

[銀行](https://www.corbado.com/passkeys-for-banking)（SBIの漏洩）、通信（BSNLとHathwayの漏洩）、ヘルスケア（ICMRの漏洩）などの重要なセクターは、時代遅れのレガシーシステムと慢性的な資金不足のサイバーセキュリティインフラにより、データ流出の危険に継続的に直面していました。これらの古いシステムには、攻撃者によって積極的に悪用される広く知られた脆弱性が含まれていることがよくありました。最新のサイバーセキュリティツール、プロアクティブな監視ソリューション、および定期的な脆弱性評価への投資が不十分であったため、攻撃者は最小限の抵抗しか受けませんでした。サイバーセキュリティ予算の強化とレガシーシステムのアップグレードは、機密データを効果的に保護するために不可欠です。

### 4.3 不適切なデータ管理と暗号化の慣行

BigBasket、boAt、Unacademyが関与するいくつかの重大な漏洩は、不適切なデータ暗号化とユーザー認証情報の不十分な管理によって悪化しました。弱いハッシュアルゴリズムでパスワードを保存したり、機密性の高い顧客データの暗号化を怠ったりすることで、攻撃者は漏洩した情報を簡単に利用できるようになりました。さらに、平文で保存された機密データや適切に保護されていないデータベースは、漏洩の危険性をさらに高めました。強力な暗号化手法、堅牢なパスワードのハッシュ化技術（ソルトを使用）、および厳格なデータ管理ポリシーの適用により、このようなリスクを大幅に軽減することができます。

### 4.4 サードパーティおよびベンダーの脆弱性

いくつかの漏洩、特にSBIとHathwayでのインシデントは、サードパーティベンダーの不十分な管理と不十分なセキュリティ監視から生じる重大な脆弱性を浮き彫りにしました。徹底的な審査や厳格なセキュリティ契約なしに外部の事業体に依存することで、攻撃者は弱いサードパーティのセキュリティ慣行を悪用して大規模な組織に侵入することができました。サードパーティのソフトウェアとインフラストラクチャは、組織が不十分なデューデリジェンスのために特定できなかった隠れた脆弱性をもたらすことがよくありました。堅牢なベンダーリスク評価、サードパーティのセキュリティ態勢の継続的な監視、および契約上の明確なサイバーセキュリティ義務を確実にすることは、将来の漏洩を防ぐ上で重要です。

## 5. 結論

インドで最も重大なデータ漏洩の分析からは、明確で重要なメッセージが読み取れます。多くのサイバーインシデントは、サイバーセキュリティ慣行の基本的な改善によって防ぐことができたということです。高度なエクスプロイトによるものは少なく、大部分の漏洩は、不適切なAPIやエンドポイントのセキュリティ、サイバーセキュリティインフラへの投資不足、貧弱な暗号化標準、遅れたインシデント検出、およびサードパーティベンダーの管理不足といった基本的な見落としによって発生しました。これらの構造的な脆弱性は、機密性の高い個人データを危険にさらすだけでなく、消費者の信頼と組織の評判を損ないます。

インドが急速なデジタル変革を続ける中、すべてのセクターの組織はサイバーセキュリティへの投資を優先し、堅牢なデータ保護ポリシーを実施し、包括的なトレーニングを通じて認識を高める必要があります。サイバーセキュリティの強化は、もはや単なる技術的な考慮事項ではなく、消費者の信頼を守り、将来の成長を維持することを目指す組織にとって不可欠な責任です。

## よくある質問

### 2018年のAadhaar漏洩では、どのようにして10億人以上の住民のデータが流出したのですか？

Aadhaarの漏洩は、政府機関やサードパーティの公共システム全体にわたるセキュリティが不十分なAPIとアクセス制御の欠如といった脆弱性に起因しています。データベースへの不正アクセスはオンラインでわずか500ルピー（約7米ドル）で公然と販売され、約11億人の居住者の氏名、Aadhaar番号、銀行口座の詳細、生体認証データ、および住所が流出しました。

### 2024年にHathway ISPの漏洩で200GBの顧客データが流出した原因は何ですか？

2024年3月のHathwayの漏洩は、同社のコンテンツ管理システムの重大な脆弱性が悪用されたもので、攻撃者は約200GBの機密記録にアクセスすることができました。4150万人以上の顧客の氏名、電話番号、住所、アカウントの認証情報、請求の詳細が侵害され、その後オンラインで漏洩しました。

### BSNLのデータ漏洩は、影響を受けたモバイル契約者にどのような具体的なリスクをもたらしますか？

2024年7月のBSNLの漏洩では、数百万人のユーザーのIMSI番号、SIMカードの詳細、サーバのスナップショット、および顧客アカウント情報が流出しました。盗まれたデータは、SIMスワッピング攻撃や標的型フィッシングキャンペーンなどの直接的なリスクを生み出し、漏洩の直後にはダークウェブのマーケットプレイスで販売リストに掲載されました。

### インド最大のデータ漏洩に共通するセキュリティの弱点は何ですか？

インドの大規模な漏洩には、不適切なAPIおよびエンドポイントのセキュリティ、サイバーセキュリティインフラへの投資不足、脆弱なデータ暗号化およびパスワードのハッシュ化の慣行、そして不十分なサードパーティベンダー管理という4つの共通する失敗が見られます。Aadhaar、ICMR、SBI、Hathwayのインシデント全体で明らかになったこれらの構造的な弱点は、高度な攻撃に対する対応というよりも、基本的な見落としを示しています。