CRMプロバイダーであるBeaconに対するサイバー攻撃は、漏洩したAWSアクセスキーが根本原因である可能性が高いことが分かりました。この攻撃により、英国の慈善団体約1500団体が保有する個人情報が流出しています。
同ソフトウェアプロバイダーは8月12日のインシデント更新情報の中で、このアクセスキーが公開されていたJavaScriptビルド成果物の中に含まれていた可能性があると説明しました。これは、ソフトウェア開発の過程で何らかのミスがあったことを示唆しています。
Beaconの評価によると、攻撃者はこの有効な認証情報を使ってCRMプラットフォーム内に保存されていた添付ファイルを含む全データにアクセスし、ダウンロードしたとみられています。これにより、慈善団体からなる同社の顧客基盤1500団体すべてが影響を受けたことになります。
この中には、医療や被害者支援といった機密性の高い分野で活動する慈善団体が保有していた個人情報も含まれています。
データはAWS上で保管時には暗号化されていましたが、攻撃者が有効な認証情報を保持していたため、ダウンロードされたデータはAWSによって復号され、読み取り可能な形式で入手できる状態だったとみられます。
BeaconのAWSコスト・使用状況レポートを分析した結果、悪意ある活動は7月27日01:20:16(UTC)に開始し、約1時間27分間続いたことが判明しました。
このタイミングは、7月27日から28日にかけてデータダウンロード量が大幅に増加した時期と一致しています。
同CRMプロバイダーによると、攻撃者が自社環境内での永続的なアクセス確保(persistence)を試みた形跡はこれまでのところ検出されていません。また、AWSと連携するサービスおよびアカウントの認証情報をすべてリセットし、不正アクセスの再発を防止する対策も講じています。
現時点では、攻撃者が盗んだデータをオンライン上で公開したり、その他の形で悪用したりした形跡は確認されていません。
慈善団体側に責任は問われず
Beaconの顧客である慈善団体はすべて、英国情報コミッショナー事務局(ICO)へこの漏洩を報告するよう勧告を受けています。
被害が確認された団体の一つであるThe Survivor’s Trustは8月13日の声明で、ICOが既に同団体のケースを審査し、この漏洩について同団体には責任がないと結論付けたことを明らかにしました。
レイプおよび性的虐待の被害者に対する専門的な支援サービスを提供する同団体は、支援者に対し、今後数週間は詐欺の可能性に注意するよう呼びかけています。
ここ数日、複数の慈善団体が支援者の個人情報が漏洩したことを公式に発表しています。これにはShrewsbury and Telford Hospital Charity、英国ろう協会(British Deaf Association)、Yorkshire’s Brain Tumour Charityなどが含まれます。
先週には、Sheffield Hospital Charity、Priscilla Bacon Hospice Charity、ホームレス支援団体のClock Tower Sanctuary、Victim Supportも同様の発表を行っています。
影響を受けたとみられるデータの種類には、支援者の氏名、メールアドレス、電話番号、寄付記録などが含まれており、攻撃者が個々の被害者を狙ったソーシャルエンジニアリング攻撃を仕掛ける機会を与える恐れがあります。
なお、漏洩したCRMシステムには、患者の機密情報や支払いカード情報、銀行口座情報は保存されていませんでした。
翻訳元: https://www.infosecurity-magazine.com/news/exposed-aws-key-data-charities/
