ヘルスケアや被害者支援を行う慈善団体、Beaconのサイバーインシデントで影響

英国の慈善団体約1500団体が、サードパーティ製CRMプロバイダーであるBeaconを標的としたサイバーインシデントにより、データ侵害の被害を受けた可能性があります。

これらの慈善団体が保有する個人情報は、ヘルスケアや被害者支援といった機密性の高い分野で活動する団体のものも含まれており、権限のない第三者によってアクセス・複製され、外部に持ち出された可能性が高いとみられています。

Beaconは慈善団体向けに特化したCRMプラットフォームを提供しており、約1500の非営利セクター組織のデータを保有しています。

Beaconの広報担当者は8月6日付でInfosecurityに送付した声明の中で、同ソフトウェアプロバイダーが「すべての」顧客に対して本インシデントを通知したことを明らかにしました。

広報担当者は続けて、「現在は、データへの影響の可能性について顧客各社が独自に行う今後の連絡活動を、できる限り支援することに注力しています」と述べています。

Beaconが2026年8月4日に本インシデントを初めて公表して以降、多数の英国拠点の慈善団体が、自団体のデータベースもアクセスを受けたものの一つであり、支援者に影響が及んだ可能性があることを明らかにしています。

これには、ヘルスケア分野のMyton Hospices、Sheffield Hospital Charity、Priscilla Bacon Hospice Charity、Rowcroft Hospiceのほか、ホームレス支援団体のClock Tower Sanctuary、そしてVictim Supportが含まれています。

影響を受けたとみられるデータの種類には、氏名、メールアドレス、電話番号、寄付記録などが含まれます。Beaconは、同社のプラットフォームに保存していたデータについては、添付ファイルも含めてすべてダウンロードされたものと想定するよう顧客に呼びかけています。

同社によれば、インシデント発生期間中に「活動の急増」が観測されており、これはデータがシステムから外部へ流出したことを示す兆候だとしています。

Beaconは8月4日付のインシデント更新情報で、「Beaconのアカウントに人物に関するデータを保存していた場合、そのデータはダウンロードされた可能性が高く、そのため、Beaconに保存していた人々への通知義務があるかどうかを検討する必要があります」と述べています。

保存されていたデータは暗号化された状態にありましたが、Beaconは、権限のない第三者がこれを復号できた可能性があるとしています。

今回侵害を受けたCRMシステムには、機密性の高い患者情報や、クレジットカード情報、銀行口座情報は保存されていません。

Beaconは顧客に対し、Beaconのフォームを通じた決済処理はそのまま安全に継続できるとしつつ、決済プロバイダーやアプリを更新するため、セキュリティインシデント対応ガイドの手順に従う必要があると案内しています。

影響を受けた慈善団体は、英国の情報コミッショナー事務局(ICO)への侵害報告も求められています。

認証情報の侵害がデータ侵害につながる

Beaconは公式声明の中で、侵害を受けたアクセスキーを使ってシステムへの侵入が行われたことを明らかにしました。このキーがどのように入手されたのかについては、詳細は明らかにされていません。

同CRMプロバイダーは、「これは単純なユーザー名とパスワードの侵害よりも高度な手口でした」と指摘しています。

BeaconはInfosecurityへの声明の中で、外部のサイバーセキュリティ専門家の支援を受けて本インシデントはすでに封じ込めが完了しており、専門家らがインシデントの全容解明に向けた調査に着手していると述べました。

広報担当者は、「初期インシデントの封じ込め以降、Beaconのシステムへの不正アクセスが継続している兆候は確認されていません。顧客の皆様は引き続き通常どおり弊社のプラットフォームおよびサービスをご利用いただけています」と説明しています。

慈善団体の被害者にとって、このインシデントが意味すること

今回のサイバー攻撃について、特定の脅威アクターへの帰属はまだ行われておらず、攻撃者の目的や、侵害されたデータをどのように利用しようとしているのかも依然として不明です。

現時点で、本インシデントに関連するデータがダークウェブ上に出現したという情報はありません。

サードパーティサービスが保有するデータの侵害が関わる他のインシデントでは、攻撃者が被害組織を脅迫し、支払いに応じなければ窃取した情報を公開すると脅す事例が見られます。これは2024年にSnowflakeの顧客インスタンスに影響を及ぼしたキャンペーンでも発生しました。

本インシデントについてコメントしたHuntressのEMEA担当vCISO兼サイバーセキュリティアドバイザーであるMuhammad Yahya Patel氏は、サイバー攻撃という観点において慈善セクターは「一貫して過小評価されてきた標的」だと述べています。

同氏は、「寄付者データベースには、氏名、住所、寄付履歴、そして金銭的な行動を本人の身元と結び付けるGift Aid(税還付)申告など、まさに標的型詐欺やソーシャルエンジニアリングを可能にする類の個人を特定できる情報が保存されています」と述べています。

Patel氏はさらに、「慈善団体は規模が小さすぎる、あるいはミッション志向が強すぎて標的にする価値がないという思い込みこそが、まさに攻撃者にとって魅力的に映る要因です。このセクターにおけるセキュリティ investment(投資)は総じて最小限にとどまる一方、サードパーティプラットフォームへの依存度は高く、組織全体のモデルが寄付者からの信頼に依存している以上、侵害が及ぼす評判上のリスクは甚大です」と説明しています。