オークションハウスのサザビーズ、サイバー攻撃でデータが流出

オークションハウスのサザビーズは、7月24日に侵害を受け、侵入者によって社会保障番号や金融口座情報を含む不特定量のデータが盗まれたと発表しました。

美術品や高級品の多国籍仲介業者である同社は、攻撃の背後に誰がいるかは把握していないとしつつ、今週、州の司法長官事務所への届け出で、メイン州の住民2人が被害を受けたことを確認しました。

The Registerは、影響を受けた総人数や、それがスタッフや顧客（多くが高額資産者や超富裕層）なのか、また恐喝要求があったかどうかについて、サザビーズに追加情報を求めました。

水曜日、サザビーズは被害者への書簡で、同社が定期的にシステムのパッチ適用やインシデント対応計画のテストを行っていたにもかかわらず、攻撃者が侵入したと述べました。

書簡には次のように記されています。「私たちは、階層的な防御、厳格なアクセス制御、安全な接続、先進的な脅威対策を通じて情報を保護するための管理的・技術的なセーフガードを設けています。

「私たちは定期的にシステムのパッチを適用し、社内のインシデント対応計画をテストし、重要なサービスのバックアップを行い、ベンダーの審査や従業員のトレーニングを実施して、日々の業務にセキュリティを組み込んでいます。

「情報のプライバシーを守るという継続的な取り組みの一環として、これらのセーフガードを引き続き見直し、システム上の情報の安全性を確保するためのさらなる強化策も検討していきます。」

ロンドンで創業し、ニューヨークに本社を置く同社は、米国でデータ窃盗を伴うサイバー攻撃後の慣例に従い、被害を受けた個人に対してTransUnionを通じた12か月分のクレジットおよび身元監視サービスを提供しています。

The Registerは、各州のデータ侵害報告ポータルをすべて調査しましたが、現時点でサザビーズが侵害を報告しているのはメイン州の司法長官のみです。

サザビーズは、過去2年でサイバー犯罪者に狙われた2番目のオークション大手です。クリスティーズは2024年5月にRansomHubの標的となりましたが、グループがプライベートオークションで買い手を見つけたと主張したため、データの流出は回避されました。

それが事件の締めくくりとなるはずでしたが、LockBitの終焉後にランサムウェアの役割を引き継いだこのグループが本当にデータを売却する可能性は低いと専門家は疑っていました。

「データを流出させるのではなくオークションにかけるのは新しいことではありませんが、比較的まれであり、犯罪者に支払いがもたらされる証拠はほとんどありません」と、Secureworksの脅威インテリジェンス部門ディレクター、ドン・スミス氏は昨年夏にThe Regに語りました。

「ランサムウェアをビジネスとして考えると、最初に労力をかけ、後で支払いを期待します。もしクリスティーズが支払いを拒否する姿勢を明確にした場合、データを公開しても犯罪者側に利益はありません。オークションは最後の手段であり、被害者のブランド価値が高い場合やデータに本当の価値があると期待される場合に成功しやすいです。

「ランサムウェア集団を抽象的に捉えがちですが、実際には人間であり、感情や弱さも持っています。クリスティーズのデータをオークションにかけることは、RansomHubの運営者にとって単なる皮肉な楽しみかもしれません。」

また、RansomHubが盗んだデータの量や質が流出させるほど印象的でなかった可能性もあり、オークションを装ったのは面目を保つための行動だった可能性もあります。®