連邦取引委員会、安全確保のため GoDaddy に対する命令を提案

2025 年 1 月 15 日、連邦取引委員会 発表された 提案された 注文 ウェブホスティング会社 GoDaddy Inc およびその運営子会社 GoDaddy.com, LLC (総称して「GoDaddy」) に対する、FTC 法第 5 条に違反する不当または欺瞞的な行為または慣行に対する申し立て、および 発行済み 和解を踏まえたセキュリティ慣行に関するウェブホスティングサービスの顧客向けのガイダンス。

FTCによると 苦情GoDaddy は、GoDaddy の Web ホスティング環境の特定の部分を不正アクセスから保護するための合理的かつ適切な措置を採用しませんでした。

FTC は、GoDaddy の不当なセキュリティ慣行には、以下を怠ったことが含まれると主張しました。コンピュータ資産とセキュリティ関連のソフトウェア更新 (パッチなど) の在庫管理と管理。 Web ホスティング環境に対するリスクを評価する。 Web ホスティング環境におけるセキュリティ関連のイベントを適切に記録および監視します。多要素認証を実装する。 Web ホスティング環境をネットワークの安全性の低い部分からセグメント化します。アプリケーション プログラミング インターフェイスへの安全な接続。

FTC によると、GoDaddy のデータ セキュリティ障害により、2019 年から 2022 年にかけて同社の Web ホスティング環境にいくつかの重大な侵害が発生し、攻撃者が特定の GoDaddy 顧客の Web サイトとデータに不正アクセスしたとのことです。これらの事件により、Web サイトを訪問する消費者は、悪意のある Web サイトへのリダイレクトなどのリスクにさらされました。

また、GoDaddy は、自社の Web ホスティング環境を不正アクセスから保護するために合理的かつ適切な措置を講じていること、および企業に合理的な使用を義務付けるセキュリティ原則を含む EU-米国および/またはスイス-米国間のプライバシー シールド原則を遵守していると虚偽の報告をしたとされています。個人情報を保護するための適切な措置を講じます。

提案された命令は以下の内容となる: (1) GoDaddy がそのセキュリティおよびプライバシーまたはセキュリティ プログラムに準拠する範囲について虚偽の表示を行うことを禁止する。 (2) GoDaddy に対し、Web ホスティング サービスのセキュリティ、機密性、完全性を保護する包括的な情報セキュリティ プログラムを確立および実装するよう要求します。 (3) GoDaddy は、情報セキュリティ プログラムの初回および 2 年ごとのレビューを実施するために、独立した第三者評価機関を雇うことを義務付けます。

和解を踏まえた FTC のガイダンスの中で、FTC は、Web ホスティング サービスの顧客は、採用されているセキュリティ慣行と Web ホストが経験した侵害に関する情報を求める必要があることを強調しています。FTC のレビューを参照してください。 中小企業向けのサイバーセキュリティ リソース、潜在的な詐欺やサイバー脅威を FTC に報告します。