OnTracがネットワーク侵害後にデータ漏洩を顧客に通知

小包配送会社のOnTracは、ハッカーが自社の企業ネットワークに侵入し、顧客の個人情報にアクセスした可能性があるとして通知を行っています。

この事案は3月23日に検知され、社内調査の結果、攻撃者が3月20日から22日の間に特定のファイルにアクセスしていたことが判明しました。

氏名以外にどのような種類の情報が流出したかは不明です。同社が当局に共有した通知サンプルでは、データ項目が黒塗りにされているためです。

OnTracは「ラストマイル」のeコマース配送を専門とする米国の民間小包配送会社で、2021年にOnTrac LogisticsとLaserShipが合併して設立されました。

同社は35州にまたがる102拠点で事業を展開しており、米国人口の約70%をカバーし、7,000社を超える独立系配送業者と提携しています。

今回のセキュリティ事案を受け、OnTracはサードパーティの専門業者と契約し、侵害の範囲特定を支援させるとともに、「上記のデータが再び安全な状態に置かれ、拡散されないようにする」ための対策を講じたとしています。

この声明は、顧客情報が漏洩しないようにするため、同社と攻撃者との間で何らかの合意（通常は身代金の支払い）があった可能性を示唆しています。

「今回の事案に起因する不正利用や、盗まれた情報の公開について把握している事実はなく、また今後そのような情報の悪用が発生すると考える根拠もありません」と、OnTracは通知の中で述べています。

情報が流出した顧客が機密データの漏洩によって生じ得るリスクを軽減できるよう、OnTracはCyberScout経由で12カ月間の無料クレジットモニタリングおよびID保護サービスを提供しており、登録期限は90日間となっています。

通知書を受け取った顧客には、自身の信用情報や口座明細を確認し、リスクが大きいと判断される場合は無料の不正利用アラートまたはクレジットフリーズの設定を検討することも推奨されています。

BleepingComputerはOnTracに対し、今回の攻撃の詳細、影響を受けた顧客数、身代金が支払われたかどうかについて問い合わせましたが、本記事の公開時点では回答を得られていません。

本記事執筆時点では、ランサムウェアやデータ恐喝を行う脅威グループがこの攻撃について犯行声明を出した事実はありません。