セキュリティ
データベースのバックアップが盗まれた可能性があり、寄付者・支援者・サービス利用者の情報が漏洩したおそれ
Beacon CRMは、英国の複数の慈善団体に関わるデータが流出するサイバー攻撃を受けたことを認めました。
同社は慈善団体向けにソフトウェアを提供しており、1,500社を超える顧客を抱えていますが、調査は現在も継続中だとしています。しかし、かなりの量の顧客データがコピーされたとみられており、Beaconは利用者に対し、プラットフォームに保存していたすべてのデータがダウンロードされたと想定するよう呼びかけています。
同社は火曜日、「現時点までの調査で、データベースのバックアップのコピーが作成され、権限のない第三者によってダウンロードされた可能性が高いことが確認されています。侵害が発生していた期間中、データが外部に流出したことを示す典型的な活動の急増を確認しています」と述べました。
「正確にどのデータが、誰に関連するものだったかについて、これ以上詳細を特定できる可能性は極めて低いため、念のため、添付ファイルを含め、Beaconに保存していたすべてのデータがダウンロードされたと想定していただくことをお勧めします」としています。
Beaconはまた、顧客データは暗号化されているものの、「今回のインシデントの原因となった権限のない第三者が、これを復号できた可能性がある」とも警告しています。そのため、顧客はコピーされた情報が読み取り可能な状態だったと想定すべきだとしています。
BeaconはThe Registerからの質問には一切回答せず、代わりに公開FAQページの内容をなぞる声明を出すにとどまりました。
攻撃者から金銭を要求されたかどうか、また攻撃者がどのように、いつ侵入したのかについてもコメントはありませんでした。
Beaconの情報ページによれば、初期の証拠から、侵害された認証情報がシステムへのアクセスに使われたとみられています。被害を受けたある慈善団体は、同社が7月29日に攻撃を認識したと述べています。
Beaconはまた、7月27日より前に有料アカウントまたは無料トライアルを作成したすべての利用者は、保存していたデータがすべてダウンロードされたと想定すべきだと述べています。
インシデント対応チームが作業を進める一方、顧客に対しては自分たちがどの程度被害を受けたかを調査するよう呼びかけています。Beaconはまた、全ユーザーのパスワードをリセットし、再設定するパスワードにより強力な要件を課しました。
被害を受けた慈善団体
Beacon CRMは慈善セクター向けに特化して設計された製品であるため、被害が確認された組織の大半は英国の慈善団体です。
知名度の高い被害者の一つが、英国のオンライン安全法をめぐって粘り強く活動を続けてきたMolly Rose Foundationです。
同財団によれば、Beaconがこの状況を伝えてきたのは8月3日で、CRM企業が侵害を認識してから5日後だったといいます。
