物流大手CEVA Logisticsの情報漏えい、欧州各地で顧客通知が相次ぐ

物流大手CEVA Logisticsで発生したサイバー攻撃の影響が、欧州各国の顧客向け通知という形で表面化しています。

CEVAによると、今回の侵入は欧州の契約物流事業の一部に影響を及ぼし、8か所の倉庫が関係しているとのことです。これを受けて複数の取引先企業が、CEVAが保有する情報にアクセスされた可能性があるとして顧客に通知を行っています。

取引先各社からの通知により、どの企業のどのようなデータが影響を受けたのかが徐々に明らかになりつつあります。

氏名・住所・購入情報などが流出対象に

影響を受けた組織はさらに増える可能性があります。オランダのデータ保護当局(Dutch Data Protection Authority)の広報担当者はTechCrunchに対し、今回の事案に関連して10社から漏えい報告を受けたと明らかにしました。

Bolは、物流パートナーが保有するシステムおよびデータに第三者が不正アクセスしたと発表しました。ある配送センターで処理された注文に紐づく顧客情報が閲覧または複製された可能性がある一方、Bol自体のシステムには影響がなかったとしています。こうした事例では、攻撃者が取引先企業の環境に直接侵入しなくても、第三者の物流事業者を経由して顧客情報が流出することがあります。

De Bijenkorfは、外部の物流パートナーを通じて顧客の連絡先情報およびオンライン注文データが流出した可能性があると発表しました。同社の事故報告によると、決済情報、銀行口座番号、ユーザー名、パスワードは今回の影響を受けていないとのことです。

流出した配送情報がフィッシングの巧妙化につながる懸念

実際の注文・配送に関する情報があれば、詐欺グループは被害者の直近の行動に合わせたメッセージを作成しやすくなります。実際の購入内容や配送予定を引き合いに出すことで、偽の関税請求や再配達依頼といった手口の信ぴょう性が高まってしまうのです。これは配送業者になりすますスミッシングキャンペーンと似た構図と言えます。

欧州のSteamハードウェア購入者に届いた警告は、特に具体的な内容を含むものの一つでした。Valveによると、同社の配送パートナーは配送情報を最長90日間保持しており、注文内容を引き合いに出した不正なメール、テキストメッセージ、電話による連絡に注意するよう顧客に呼びかけています。Valveの通知では、当該配送業者は決済情報、パスワード、Steam Guardコードにはアクセスできない状態だったとしています。

セキュリティチームが取るべき対策:取引先へのデータ提供を最小限に

自社が顧客記録を物流・配送業者と共有している場合、そのデータが自社システムを離れた後もセキュリティ管理の対象として扱うことが重要です。各取引先がどの情報を受け取り、どのくらいの期間保持しているのかを把握しておくことで、取引先が侵害を受けた際の被害を抑えることができます。

セキュリティチームは、いくつかの管理策に絞って対応を強化できます。

• 取引先へのアクセスを制限する:サービス提供に必要な顧客情報のみを共有し、契約内容やサービス内容が変わった際にはアクセス権限を見直しましょう。
• データ保持期間に上限を設ける:業務上の必要がなくなった時点で、顧客・配送記録を削除するよう取引先に求めましょう。
• 取引先の侵害に備えて計画を立てる:インシデント発生前に通知の時間軸と対応責任を明確にしておくことで、影響を受けた顧客や流出した情報を迅速に特定できます。 サードパーティリスク管理には、こうした要件を定期的に組み込む必要があります。

CEVA関連の通知を受け取った人は、たとえ実在する住所や注文内容が記載されていたとしても、不審な配送・決済メッセージには注意が必要です。心当たりのないリンクをクリックするのではなく、自分で公式サイトやアプリを開いて確認し、身に覚えのない請求については支払う前に確認するようにしましょう。今回の事案だけを理由にパスワードのリセットを行う必要はありません。ただし、影響を受けた企業が認証情報の流出を報告している場合や、リセットを推奨している場合はこの限りではありません。

ありふれた配送記録であっても、攻撃者にとってはソーシャルエンジニアリングを巧妙化させるのに十分な個人情報となり得ます。外部業者に渡す情報とその保持期間を最小限に抑えることで、取引先が侵害された場合に攻撃者が悪用できる顧客情報を減らすことができます。

関連記事:Levi Straussで発生した情報漏えいは、わずか3人の従業員を狙ったソーシャルエンジニアリングから始まったもので、少数のアカウント侵害が企業データへの侵入口となり得ることを示しています。