Beacon CRMは、脅威アクターが侵害されたAWSアクセスキーを使ってAmazon Web Services(AWS)環境にアクセスし、顧客データベースの全データをダウンロードした可能性が高いことを確認したと発表しました。
Beaconは8月12日に公開したインシデント update で、データベースには添付ファイルを含め、プラットフォームに保存されていた全顧客データが含まれていたと述べています。
外部のサイバーセキュリティ調査担当者は、データはAWS内で保管時に暗号化されていたものの、読み取り可能な非暗号化状態で取得された可能性が高いと評価しました。
今回のインシデントの根本原因として考えられるのは、公開アクセス可能なJavaScriptビルド成果物の中に露出していた可能性があるAWSアクセスキーです。こうした成果物には、デプロイ前に機密情報を除去していない場合、認証情報やAPIキー、設定値、ソースマップデータなどが意図せず埋め込まれてしまうことがあります。
Beacon CRMのデータ侵害
Beaconの報告によると、最初に観測された不正な活動は2026年7月27日01:20:16(UTC)に始まり、約1時間27分続いたとのことです。調査担当者は責任者の特定には至っておらず、犯人の特定は公表されていません。
5月から7月にかけてのAWSコスト・利用状況レポートのフォレンジック分析により、7月27日と28日にデータ転送量が大幅に増加していたことが判明しました。この転送量の増加は不正な活動の時期と一致しており、大量のデータダウンロードが発生したとするBeaconの評価を裏付けるものです。
しかし同社は、利用可能なログでは具体的にどのオブジェクトにアクセスされたのか、ダウンロード先はどこか、またどのレコードがコピーされたのかを確定的に特定することはできなかったと述べています。
転送量とプラットフォーム全体で保有するデータ量を踏まえ、Beaconは攻撃者が顧客データベースに含まれる全データをエクスポートした可能性が高いと評価しました。
「データはAWS内で保管時に暗号化されていましたが、脅威アクターは有効な認証情報を保有していました」とBeaconは述べています。そのため、アクセスやダウンロードの操作時にAWS側でデータが復号され、攻撃者が平文でレコードを取得できた可能性があるとしています。
Beaconは、今回の侵害に関連するデータがオンライン上で公開、販売、開示、あるいは悪用された証拠は見つかっていないと述べています。また、AWS環境内に永続化の仕組みは発見されておらず、侵入者が初期侵害後にアクセスを維持する手段を確立しなかったことがうかがえるとしています。
Beaconは、疑われる露出経路を修復し、AWSと連携するアカウントおよびサービスの認証情報をリセットしたと述べています。さらに同社は、クラウド環境およびエンジニアリング用エンドポイント全体にSentinelOneのEndpoint Detection and ResponseとCloud Native Securityツールを導入しました。
セキュリティ製品・サービス
これらのセキュリティ制御は、侵害の痕跡、不審なエンドポイントの挙動、クラウドベースの攻撃活動を継続的に検知するために設計されています。Beaconによると、アラートは24時間体制で監視されており、攻撃や侵害の痕跡が確認された場合は自動的に修復措置が取られるとのことです。
インシデントが封じ込められ、根本原因と考えられる問題への対処が完了して以降、Beaconは自社のAWS環境およびエンジニアリングシステムにおいて、それ以上の不正アクセスや不審な活動は検知していないと報告しています。
同社は顧客に対し、Beacon CRM内に保存していた個人情報や機密データの内容に基づき、各組織自身でリスク評価を実施し、影響を受けた個人への通知が必要かどうかを判断するよう呼びかけています。Beaconは数週間以内に最終的な調査概要を提供する見込みです。
新たなフィッシングやマルウェアが貴社に被害をもたらす前に阻止しましょう。 世界15,000のSOCが利用するライブインテリジェンスを統合
翻訳元: https://gbhackers.com/beacon-crm-data-breach-exposes-customer-data/
