10月10日には、攻撃を行った「アンダーグラウンド」 ransomware グループがこの攻撃を主張し、機密文書や財務データ、プロジェクト情報、従業員のデータを開示すると脅迫していました。カシオはすぐにアンダーグラウンドが従業員、パートナー、および顧客の個人データを盗んだことを確認しましたが、影響を受けた人数は発表しませんでした。調査が完了した現在、カシオはデータ侵害の範囲についての詳細を提供できる立場にあります。

同社の最新の発表によると、流出したデータには影響を受けた個人に関する詳細も含まれており、特定された影響を受けた個人にはカシオから個別に通知が行われる予定です。なお、一部の従業員は ransonware 攻撃に関連すると思われる迷惑メールを受信していますが、彼ら、パートナー、顧客に対する二次的な被害は現時点では確認されていないとカシオは報告しています。

さらに、カシオは、有害な ransonware アンダーグラウンドによって顧客データやクレジットカード情報は流出しなかったと引き続き強調しており、顧客情報を保持したデータベースには今回の事件が影響していなかったことも明らかにされています。また、同社はサイバー犯罪者との交渉を行っていないことを強調しています。「法律執行機関、外部法律顧問およびセキュリティ専門家と相談した結果、カシオはunauthorized access を実行した ransomware グループからの不当な要求には応じていません」とカシオは説明しています。しかし、影響を受けたサービスについては、ほとんどが通常の運用状態に戻っているものの、一部のサービスはまだ復旧していないとのことです。他方で、カシオの CASIO ID および ClassPad.net プラットフォームは ransomware 攻撃の影響を受けていないとされていますが、これらのサービスも2024年10月に別の侵害を受けたとのことです。

この流出したデータは、アマゾンのクラウドストレージに未保護の状態で数ヶ月間保存されており、技術的な知識がほとんどない人でも運転手の動きを追跡したり、個人情報を集めたりすることができました。データベースには、フォルクスワーゲン、シート、アウディ、シュコダの車両に関する詳細が含まれており、いくつかの車両の位置情報は数センチメートルという精度で取得されていました。

カーリアドの不適切なITアプリケーションの設定が原因で、車両データへのアクセスが可能になったことが明らかになっています。この問題について、倫理的ハッカーの団体であるカオスコンピュータクラブ（CCC）から、11月26日にカーリアドに通知がありました。高名なドイツの出版物「シュピーゲル」によると、CCCは内部告発者からこの脆弱性を知り、不正アクセスを試験した後、カーリアドとフォルクスワーゲンの責任者に技術的な詳細を提供しました。

カーリアドの代表者は、流出したデータはインターネットに接続されているオンラインサービスに登録された車両にのみ影響を与えると述べています。流出した約80万台の車両の中から、46万台の車両に位置情報データが含まれており、ある車両に関しては精度が10センチメートルという結果が出ました。

流出した情報には、ハンブルク警察のパトロールカーや、諜報機関に関連する人物の車両も含まれているとのこと。カーリアドは、CCCのハッカーがデータにアクセスするには複数のセキュリティメカニズムを回避する必要があり、大きな時間と技術的専門知識を必要としたと主張しています。

しかし、シュピーゲルはIT専門家とジャーナリストのチームを構成し、ドイツの政治家2名（ナディア・ヴァイペルトとブンデスタッグ議員マルクス・グリューベル）の車両から収集された位置情報を、自由に利用できるソフトウェアを用いて発見しました。これらのツールは、カーリアドの資産をスキャンし、敏感な情報を含むファイルを見つける手助けをしました。

最も影響を受けた車両はドイツに約30万台あり、ノルウェー（8万台）、スウェーデン（6万8千台）、イギリス（6万3千台）、オランダ（6万1千台）、フランス（5万3千台）、ベルギー（6万8千台）、デンマーク（3万5千台）にも情報があったことが確認されました。カーリアドは、事故を防ぐため、すぐに問題を修正し、CCCが報告を送付したその日にアクセスを閉じたと述べています。

カーリアドは、他の当事者が流出したデータにアクセスした証拠はないとしており、CCC以外の第三者による情報の不正使用は確認されていないと強調しています。顧客は個人データを処理する製品やサービスの利用に同意することができ、いつでもそのオプションを無効にすることができます。しかし、収集されたデータは「顧客にデジタル機能を提供、開発、改善するために必要である」としています。

この事件は、プライバシー保護の重要性を再認識させるものであり、消費者は自らのデータがどのように扱われるかについて敏感になる必要があります。