アクセンチュアで大規模データ侵害、顧客企業にもリスク波及の恐れ

ある脅威アクターが、コンサルティング大手アクセンチュアに対する最近のサイバー攻撃で、膨大な量の機密データを窃取したと主張しています。

「888」と名乗るハッカーがダークウェブ上の投稿で明らかにしたところによると、流出したとされるデータにはソースコード、Microsoft Azureの個人用アクセストークン、RSA暗号鍵、SSH鍵などが含まれるといいます。この投稿はBleeping Computerが共有しています。

この脅威アクターは、7月上旬に発生した侵入によってアクセンチュアからおよそ35GBのデータを盗み出したと主張しています。

アクセンチュアはCybersecurity Diveへの声明で、今回の事案の影響を小さく見せています。

広報担当のピーター・ソー氏は「我々はこの局所的な問題を認識しており、発生源への対処はすでに完了している」と述べ、「アクセンチュアの業務やサービス提供への影響はない」としています。

今回盗まれたデータは、アクセンチュアとその顧客企業をさらなる攻撃の重大なリスクにさらす可能性があります。脅威インテリジェンス企業のSOCRadarは今回の事案の分析の中で、「ソースコードは、攻撃者が内部アプリケーションのロジックを理解したり、実装上の弱点パターンを特定したり、独自システム内のハードコードされた秘密情報や悪用可能な経路を探し出したりする手がかりになりうる」と指摘しています。さらに、流出したアクセスキーを使えば、ハッカーはコードリポジトリやクラウドストレージサービス内を自由に動き回れてしまう恐れもあります。

盗まれたデータがどれだけ新しいものかによっては、今回の攻撃はアクセンチュアの顧客基盤全体に連鎖的な影響を及ぼしかねません。SOCRadarのアナリストは「ソースコードや設定ファイルは、攻撃者が顧客やパートナー企業が使用するソフトウェアの脆弱性を特定する手がかりになりうる」と記しています。

アクセンチュアは、こうした潜在的な影響に関する追加質問への回答を拒否しました。

繰り返される侵害パターンの一部

アクセンチュアは世界最大級のコンサルティング企業の一つで、顧客リストにはFortune Global 500の大多数の企業が名を連ねています。しかし同社はこれまでもサイバーセキュリティ面で苦戦してきました。2021年には、ランサムウェアグループのLockBitがアクセンチュアのシステムに侵入し、身代金を支払わなければ盗んだデータを公開すると脅迫しました。また2017年には、セキュリティ研究者集団UpGuardがアクセンチュアがAmazon Web Servicesのバケットを設定ミスしていたことを明らかにし、平文のパスワードや他のクラウドサービス用アクセスキーを合わせて約40,000件、機密データが露出していたことが判明しました。

今回の侵害で犯行声明を出した脅威アクターは、2024年にアクセンチュアの従業員データベースを大量に盗んだと主張したハッカーと同じ「888」というハンドル名を使用しています。当時アクセンチュアは、そのハッカーが事案を大幅に誇張しているとし、実際にデータベースに含まれていたのは従業員3名分の情報のみだったと説明していました。