ハッカーは米国の保険大手Allianz Lifeから盗まれたデータを公開し、進行中のSalesforceデータ窃盗攻撃により、ビジネスパートナーや顧客に関する2.8百万件の機密情報が流出しました。
先月、Allianz Lifeはデータ侵害を受けたことを公表し、7月16日に第三者のクラウドベースCRMシステムから「大多数」の140万人の顧客の個人情報が盗まれたと発表しました。
同社はプロバイダー名を明かしませんでしたが、BleepingComputerはこの事件がShinyHuntersという恐喝グループによるSalesforceを標的とした一連の窃盗の一部であると最初に報じました。
週末に、ShinyHuntersおよび「Scattered Spider」や「Lapsus$」と重複を主張する他の脅威アクターが、サイバーセキュリティ研究者、法執行機関、ジャーナリストを嘲笑しながら一連の著名な侵害の犯行声明を出すために、ScatteredLapsuSp1d3rHuntersというTelegramチャンネルを作成しました。
これらの攻撃の多くは、これまで特定の脅威アクターに帰属されていませんでした。これにはInternet Archive、Pearson、Coinbaseへの攻撃も含まれます。
脅威アクターが犯行を主張した攻撃の一つがAllianz Lifeであり、彼らは同社のSalesforceインスタンスから盗まれた完全なデータベースを流出させました。
これらのファイルは、Salesforceの「Accounts」および「Contacts」データベーステーブルで構成されており、個人顧客や資産運用会社、ブローカー、ファイナンシャルアドバイザーなどのビジネスパートナーに関する約280万件のデータ記録が含まれています。
流出したSalesforceデータには、氏名、住所、電話番号、生年月日、納税者番号などの機微な個人情報に加え、免許、所属企業、商品承認、マーケティング分類などの職業情報も含まれています。
BleepingComputerは、複数の人々に確認したところ、流出ファイル内の電話番号、メールアドレス、納税者番号などの情報が正確であることを確認できました。
BleepingComputerはAllianz Lifeに流出したデータベースについて問い合わせましたが、調査中のためコメントできないとの回答でした。
Salesforceデータ窃盗攻撃について
Salesforceのデータ窃盗攻撃は年初に始まったと考えられており、脅威アクターは従業員をだまして悪意のあるOAuthアプリを自社のSalesforceインスタンスにリンクさせるソーシャルエンジニアリング攻撃を行っていました。
一度リンクされると、脅威アクターはその接続を利用してデータベースをダウンロード・窃取し、その後メールを通じて企業を恐喝しました。
恐喝要求はメールで企業に送られ、「ShinyHunters」からの署名が付けられていました。この悪名高い恐喝グループは、AT&T、PowerSchool、SnowFlake攻撃など、過去に多くの著名な攻撃に関与してきました。
ShinyHuntersはクラウドSaaSアプリケーションやウェブサイトのデータベースを標的とすることで知られていますが、この種のソーシャルエンジニアリング攻撃はあまり知られていません。そのため、多くの研究者やメディアは一部のSalesforce攻撃をScattered Spiderの仕業と見なしていました。
しかし、ShinyHuntersはBleepingComputerに対し、「ShinyHunters」グループと「Scattered Spider」は現在同一であると語りました。
「すでに何度も言っていますが、ShinyHuntersとScattered Spiderは同一です」とShinyHuntersはBleepingComputerに語りました。
「彼らが初期アクセスを提供し、我々がSalesforce CRMインスタンスのダンプと持ち出しを行います。Snowflakeの時と同じです。」
また、グループの多くのメンバーは、Lapsus$として知られる別のハッカーグループにルーツを持つと考えられています。Lapsus$は2022～2023年に多数の攻撃を行い、一部メンバーが逮捕されるまで活動していました。
Lapsus$は、Rockstar Games、Uber、2K、Okta、T-Mobile、Microsoft、Ubisoft、NVIDIAなどへの侵害の背後にいました。
Scattered Spiderと同様に、Lapsus$もソーシャルエンジニアリング攻撃やSIMスワップ攻撃に長けており、数十億・数兆ドル規模の企業のIT防御を突破していました。
過去数年にわたり、すべての3つの集団に関連する多くの逮捕が行われてきました。そのため、現在の脅威アクターが過去の脅威アクターなのか、新たに活動を引き継いだ者なのか、あるいは単にこれらの名前を使って偽旗作戦を行っているのかは明確ではありません。
