ニューヨーク・タイムズ紙の報道により、ハッカーらの侵入経路が特定されました。最終的に7,600万世帯と700万件の小規模事業者の連絡先情報が漏洩することとなったこの攻撃は、昨年の春、従業員1名のログイン情報が盗まれたことから始まりました。

同報道の中で引用された社内関係者（匿名）によると、被害はそこで食い止められた可能性もありましたが、JPモルガンのセキュリティチームがサーバーの1台に対して二段階認証を導入するアップデートを怠っていたとのことです。同行は10月、この被害規模（データ侵害の範囲）を正式に発表しました。

【関連記事】オンライン上のアクティビティを監視から守る無料ツール11選

二段階認証は、アクセス制御における最も基本的な追加のセキュリティ層の一つです。これは、ユーザーの通常のパスワードに加えて、例えばスマートフォンなどに送信される一回限りの独自生成コード（ワンタイムパスワード）が必要になることを意味します。この問題のサーバー1台にはそうした保護対策が施されていなかったため、盗まれたログイン情報だけで侵入が可能となり、銀行のシステムは無防備な状態に晒されてしまっていたのです。

ニューヨーク・タイムズ紙によると、JPモルガンは現在、自社ネットワーク内のセキュリティ上の欠陥（脆弱性）を排除するため、全社的な内部調査を進めています。同行はこのデータ侵害を、企業としての大きな失態（公の恥）と捉えています。

なお、JPモルガン・チェースは、今回のデータ侵害で口座情報や社会保障番号（SSN）は流出しておらず、電話番号やメールアドレスなどの連絡先情報のみが漏洩したと主張しています。ハッカーらがこれらの情報を悪用し、銀行になりすました詐欺メールや電話といった「フィッシング詐欺」を仕掛けてくる可能性があります。