セキュリティ
Helixは約100万件のファイルを窃取したと主張していますが、物流大手は業務が停止したことはないとしています
Uber Freightは、恐喝集団Helixが8月6日に自社をデータリークサイトに掲載したことを受け、「データセキュリティインシデント」について調査中であると発表しました。
Helixは、メールボックス、OneDriveアカウント、売掛金部門、その他のリポジトリから約100万件のファイルを窃取したと主張しています。
Uber Freightの広報担当者はThe Registerに対し、このインシデントは調査中だが、会社の日常業務に支障は出ていないと語りました。
「当社は、Uber Freightのシステムおよびリポジトリの一部への不正アクセスを伴うデータセキュリティインシデントについて調査を行っています。このインシデントは特定・封じ込め・修復済みであり、当社は速やかに連邦法執行機関に協力を要請しました。
Uber Freightの事業運営に影響はなく、通常通り支障なく継続しています。当社のシステムは安全であり、完全に稼働しています」
Uber Freightは、誰もが知るライドシェア企業の、あまり知られていない物流部門であり、「北米最大級のマネージド輸送・マルチモーダル輸送能力ネットワークの一つ」を自称しています。
同社のウェブサイトによると、毎年1,800万件の出荷を管理し、その貨物価値は170億ドルを超えるとしています。
The Registerは、Helixが段階的に公開したファイルをダウンロードしておらず、Uber Freightもその内容が本物かどうかについては肯定も否定もしていません。
Helixは、5月にブランド名を廃止したBlackFileと関連するインフラを研究者らが特定した、最近設立された複数の恐喝ブランドの一つです。
Google Threat Intelligence Group(GTIG)によると、Helixはインフラの一部をPink、Redact、Falconの各ブランドと共有しています。Googleはこの一連の活動クラスターをUNC6671として追跡しています。
UNC6671に関連する実行者は、義務化されたセキュリティ移行を担当するITヘルプデスク担当者を装ったビッシング(音声フィッシング)を用いて初期侵入することが多い、とGoogleは述べています。
攻撃者は従業員の個人携帯電話に連絡を取り、デバイスコードフィッシングを使って認証情報や認証済みセッションを取得し、その後Microsoft 365などのクラウドサービスからデータを吸い出します。また、Oktaのアイデンティティ基盤も標的にしてきました。
研究者らは、UNC6671関連のブランドが最近、より価値の高いセクターの組織へと標的をシフトさせていると見ています。
4月と5月には製造業、不動産、医療、保険業を重点的に狙っていましたが、6月以降はテクノロジー、運輸、宿泊業を標的とする傾向が強まっています。
BlackFileの活動停止後になぜ複数のブランドが出現したのかは不明です。GTIGは、この戦略が「業務を区分化し、侵害総量を隠蔽し、交渉決裂時の影響を分離する」ことを狙っている可能性があるとしていますが、他にも説得力のある説明はあり得るとしています。
資金の取り扱いや運用上のセキュリティといった問題をめぐる内部対立が、UNC6671の分裂につながった可能性がある、とGTIGは推測しています。
また、中核メンバーが侵入とデータ窃取の側面については引き続き管理下に置きつつ、交渉と恐喝の部分を外部委託しようとしている可能性もあります。あるいは、複数のグループが単に同一の汎用化されたフィッシングツールを利用しているだけという可能性も考えられます。®
