自動車製造大手のステランティスは、サードパーティのサービスプロバイダーのプラットフォームに関わるデータ侵害が発生したことを公表しました。
同社によると、このインシデントは週末に発生し、北米事業の一部で使用されているサードパーティサービスに影響が及びました。
「発見後、直ちにインシデント対応プロトコルを発動し、包括的な調査を開始するとともに、状況の封じ込めと緩和のため迅速な対応を行いました」と同社は述べています。
ステランティスは、今回のデータ侵害により、北米の顧客に関する連絡先情報が漏洩したとしています。影響を受けた個人には直接通知が行われています。
「重要な点として、影響を受けたプラットフォームには財務情報や機微な個人情報は保存されておらず、いずれもアクセスされていません」と自動車メーカーは述べています。
ステランティスは、今回漏洩した連絡先情報の種類については明らかにしていませんが、顧客に対してフィッシング攻撃や、不審なリンクを含む、または個人情報の提供を求めるような未承諾の連絡に注意するよう呼びかけています。
同社は影響を受けたサードパーティプラットフォームの名称を明かしていませんが、TuskiraのCEO兼共同創業者であるPiyush Sharma氏は、悪名高いShinyHunters恐喝グループが、最近の大規模なキャンペーンの一環としてステランティスのSalesforceインスタンスをハッキングしたとみられると述べています。
「彼らはサードパーティ統合や、企業システム全体への扉を開くトークンを標的にしました。ShinyHuntersのようなグループが有効な足がかりを見つけると、誰かが止めるまで大規模に実行します。これはSalesforce環境全体で見られる体系的なパターンの一部です」とSharma氏は述べています。
広告。スクロールして続きをお読みください。
「ここでの大きな懸念は、SaaSプラットフォーム、IDプロバイダー、さらにはセキュリティツール間で受け渡される信頼こそが、実際の攻撃対象面になっているということです。それに対抗するには、その信頼がどのように悪用され得るかをテストし、攻撃者が到達する前に経路を断つことが必要です」とSharma氏は付け加えました。
SecurityWeekは、データ侵害に関する追加情報を求めてステランティスにメールで問い合わせており、同社から回答があれば本記事を更新します。
ステランティスは、PSAグループとフィアット・クライスラー・オートモービルズの合併により2021年に設立され、世界第5位の自動車メーカーであり、130の国と地域で事業を展開しています。
同社は、アバルト、アルファロメオ、クライスラー、シトロエン、ダッジ、DSオートモビル、Free2move、フィアット、ジープ、ランチア、Leasys、マセラティ、オペル、プジョー、ラム、ボクスホールの14の自動車ブランドを所有しています。
関連記事: ランサムウェア攻撃による欧州空港の混乱
関連記事: その他のニュース：医療データ侵害で60万人被害、ShinyHuntersによる大規模ハッキング、DeepSeekのコーディングバイアス
関連記事: 今すぐ視聴：アタックサーフェスマネジメントサミット ― 全セッション視聴可能
関連記事: ティファニーのデータ侵害、数千人の顧客に影響
翻訳元: https://www.securityweek.com/automotive-titan-stellantis-discloses-data-breach/