ディズニーをクビになった元従業員がシステムをハッキング、レストランのメニューのアレルゲン情報を削除するなど悪行三昧

2024年6月に不正行為でディズニーを解雇された元従業員が、ディズニー・ワールドのレストラン専用で使用されているメニュー作成ソフトウェアシステムをハッキングし、アレルゲン情報を変更したとして逮捕・起訴されました。

Criminal Complaint - disney-menu-hacker-complaint.pdf
(PDFファイル)https://regmedia.co.uk/2024/10/30/disney-menu-hacker-complaint.pdf

Ex-Disney techie arrested for potentially deadly menu hacks • The Register
https://www.theregister.com/2024/10/30/fired_disney_employee_hacks_menu/

Fired Disney worker allegedly changed peanut allergy information on menus
https://nypost.com/2024/10/30/business/fired-disney-worker-allegedly-changed-peanut-allergy-information-on-menus/

ディズニーのメニュー制作マネージャーとして働いていたマイケル・ショイアーは、「不正行為」があったとして2024年6月にディズニーから解雇されています。なお、ディズニーはショイアーの不正行為について明らかにしていません。

ショイアーの弁護士であるデビッド・ハース氏は「ディズニーは解雇についてのショイアーからの問い合わせに回答しませんでした。そこで、ショイアーは雇用機会均等委員会(EEOC)に苦情を申し立てています」と語っています。

ディズニーから解雇されたショイアーは解雇後すぐの2024年7月に、依然として機能していた自身の資格情報を使用して、レストランのメニュー作成ソフトウェアシステムにログイン。システム内のすべてのフォントを装飾記号を集めたパイフォント「Wingdings」に変更しました。

訴状には「ショイアーによる変更の結果、フォントの変更がデータベース全体に波及したため、データベース内のすべてのメニューが使用できなくなりました。この変更によりシステムは数週間オフラインになり、修正にはバックアップからの復元が必要でした」と書かれています。

さらにショイアーはメニューに記されていたQRコードを改ざんして、イスラエルによるガザ地区への侵攻を糾弾するウェブサイト「 boycott-israel.org」にリダイレクトするように変更したとのこと。

加えて、ショイアーはメニューのアレルゲン情報を変更し、一部の料理がピーナッツアレルギーの顧客にとって安全であると偽って表示したとされています。なお、ショイアーによって書き換えられたメニューはレストランに届けられる前にディズニーによって処分されたため、顧客への被害はなかったと報告されています。

また、ショイアーは少なくとも14人の従業員のアカウントを悪用して、間違ったパスワードを使用してシステムに数千回にわたりログインさせることでアカウントから締め出すスクリプトを作成したとのこと。当局はショイアーが一部の従業員をDoS攻撃の標的にしたと追及しており「標的となった従業員の自宅住所や電話番号、親戚の個人情報を含むファイルがショイアーのPCに保存されていました」と報告しました。

訴状によると、ショイアーは2024年10月22日の夜にDoS攻撃の標的となった被害者の家に現れたことが、設置されたドアベルカメラの映像で明らかになっています。

こうした行為を受けてFBIは調査を実施。そして2024年10月24日にコンピューター詐欺・乱用法違反の疑いでショイアーを逮捕・起訴しました。FBIは「具体的には、ショイアーが故意に許可なく、保護されたコンピューターに損害を与えるプログラムや情報、コード、またはコマンドを送信し、少なくとも5000ドル(約76万円)以上の損害を与えました」と指摘しています。

海外メディアのThe Registerによると、今回の罪状で有罪判決を受けた場合、最大15年の収監になる可能性があるとのこと。ショイアーに対する拘留審問は2024年11月5日に実施される予定です。