ShinyHuntersがBrinks HomeのSalesforceデータ窃取を主張

Brinks Homeは、Microsoft Entraを標的としたボイスフィッシング(ビッシング)キャンペーンで従業員のID情報が狙われたことから始まったと攻撃者が主張するサイバーセキュリティインシデントについて調査を進めています。 

同社は、攻撃者が自社システムから窃取したと主張する情報を公開すると脅迫していることを確認したと発表しました。 

「今回の事態の責任者は、自らが窃取したと主張する情報を公開すると脅迫しています。こうした情報が公に投稿される可能性があることを認識しています」と、Brinksは通知の中で述べています。 

Brinks Homeインシデントの要点

• Brinks Homeは、ShinyHuntersがMicrosoft Entraを狙ったビッシング攻撃を通じて同社に侵入したと主張したことを受け、サイバーセキュリティインシデントを調査しています。
• この脅威グループは、Salesforceの顧客記録、従業員の個人情報(PII)、数百万件に及ぶ顧客サポートのチャットログを窃取したと主張していますが、Brinks Homeはデータ流出の範囲について確認していません。
• ShinyHuntersによると、今回の攻撃はソフトウェアの脆弱性を悪用したものではなく、ID情報を狙ったソーシャルエンジニアリングによるものだとされています。
• 今回のインシデントは、ShinyHuntersが2026年に入ってからCanvasやUdemyなどクラウドベースのプラットフォームを標的に主張してきた一連の事案に続くもので、同グループがSaaS環境を継続的に狙っていることを浮き彫りにしています。
• フィッシング耐性を備えた認証、より強固なID管理、継続的なクラウド監視、そして実践的なインシデント対応計画は、Microsoft Entraを狙ったビッシングをはじめとするID関連攻撃に対する重要な防御策であり続けています。

BrinksへのShinyHunters攻撃の内実  

BleepingComputerによると、恐喝グループShinyHuntersは、7月13日にMicrosoft Entraを狙ったビッシング攻撃を通じてBrinks Homeに侵入し、顧客および従業員のデータにアクセスしたと主張しています。 

Brinks Homeは、米国、カナダ、プエルトリコで100万人以上の顧客にサービスを提供しており、住宅用セキュリティシステム、カメラ、センサー、スマートホーム自動化製品を扱っています。 

同社はどのような情報がアクセスされたのか(あるいはそもそもアクセスされたのか)について確認していませんが、攻撃者が窃取したと主張するデータを公開すると脅迫していることは認めています。

ShinyHuntersによると、今回の攻撃はMicrosoft Entraを狙ったビッシングキャンペーンから始まったとされています。 

この種の攻撃では、脅威アクターが従業員に電話をかけ、認証リクエストの承認、攻撃者が管理するデバイスの登録、あるいは企業アカウントへのアクセスを許可するID確認手続きの完了などを促して説得します。 

ソフトウェアの脆弱性を悪用する攻撃とは異なり、ビッシングキャンペーンはID保護の人的要素を狙うもので、成功すれば攻撃者はアプリケーションへの正規のアクセス権を得ることになります。

ShinyHunters、SalesforceおよびIT顧客データの窃取を主張 

同グループは、Salesforce Contactsオブジェクトから110万件を超える顧客記録を、個人識別情報(PII)を含む4,000件超の従業員記録を、そしてBrinks Care Cresta環境から380万件を超える顧客サポートのチャットログを流出させたと主張しています。 

BleepingComputerはこれらの主張について独自の検証は行っていないと報じており、Brinks Homeもデータ流出の範囲について確認していません。

ShinyHunters、クラウドおよびSaaSプラットフォームへの標的を継続 

ShinyHuntersは2026年を通じて活発に活動を続けており、クラウドベースのプラットフォームを狙った複数の大規模なデータ窃取・恐喝キャンペーンについて、自らの犯行だと主張してきました。 

今年これまでにも、同グループは学習管理システムCanvasやオンライン教育プラットフォームUdemyへの攻撃を主張し、窃取したデータと公開への脅迫を使って被害者に交渉を迫っていました。 

もし今回のBrinks Homeのインシデントが事実であると確認されれば、データを恐喝の材料として窃取するためにSaaSプラットフォーム、クラウドアプリケーション、ID中心の環境を標的とするというShinyHuntersのこれまでのパターンに合致することになります。 

Microsoft Entraを狙ったビッシング攻撃への対策 

ビッシングをはじめとするID関連攻撃は、クラウドアプリケーションやその他の事業に不可欠なシステムへのアクセスを得るために、人の信頼を悪用し続けています。 

• フィッシング耐性を備えたMFA、条件付きアクセス、ID脅威検知を導入し、アカウント侵害のリスクを低減する。
• ヘルプデスクにおけるID確認手続きを強化し、許可されていないデバイス登録やMFA登録を制限する。
• Microsoft Entra、Salesforce、その他のクラウドプラットフォームを監視し、通常とは異なる認証activity、OAuthの悪用、特権アカウントの変更、不審な挙動を検知する。
• 最小権限アクセスを徹底し、特権アカウントや認証トークンを定期的に見直し、必要に応じてジャストインタイム管理を活用する。
• サービスアカウント、API認証情報、クラウドIDを保護するため、シークレットのローテーション、未使用の認証情報の削除、過剰な権限の制限を行う。
• インシデント対応計画をテストする際は、ID侵害やSaaS侵害を想定したシミュレーションやシナリオを活用する。

これらの対策を組み合わせることで、組織は全体的なリスクを低減し、ID関連インシデントによる被害の範囲を抑えることができます。 

結論

ID侵害は依然として、大量の業務データや顧客データを保有していることが多い、事業に不可欠なSaaSプラットフォームへの直接的な侵入経路を脅威アクターに提供し続けています。 

セキュリティ責任者にとっての優先事項は、もはやID侵害を防ぐことだけではありません。信頼されたIDが侵害された後に、攻撃者が到達できる範囲をいかに制限するかが問われています。 

IDが新たなセキュリティの境界線となる中、ゼロトラストは、アクセスを継続的に検証し、侵害されたアカウントによる被害範囲を制限するためのフレームワークを提供します。