英国のチャリティ・非営利団体1,000以上が利用する顧客関係管理(CRM)プラットフォーム「Beacon CRM」は、Amazon Web Services(AWS)のアクセスキーが侵害されたことを受け、攻撃者が同社の顧客データベース全体をコピーし、外部に持ち出したことを確認したと発表しました。
2026年8月12日にCTO(最高技術責任者)のDavid Simpson氏が発表した最新の開示情報は、Beaconが以前に発表していた内容を大幅に拡充するものです。
外部のサイバーセキュリティ専門家とともに実施されたフォレンジック調査により、侵害されたクラウド認証情報を悪用することで、同社のAWS環境に保存されているプラットフォームデータおよび添付ファイルへの不正アクセスが可能になっていたことが判明しました。
当該のキーは、Beaconのウェブサイトで公開されていたJavaScriptのビルド成果物の中に露出していました。この種の露出は、ビルドプロセスにおいて環境変数やAPIキーなどの機密情報が誤ってフロントエンドコードに埋め込まれることで発生することがあります。
こうしたファイルが一度公開されると、漏洩したクラウド認証情報を探す自動スキャナーを含め、誰でも取得・調査できる状態になります。このような露出は、クラウド環境の侵害に直結する経路を生み出します。
脅威アクターは日常的に、公開されているウェブアセットやソースリポジトリをスキャンしてアクセストークン、キー、設定データを探し出し、発見した認証情報をクラウドサービスに対して検証します。
流出した機密情報は、認証情報を狙ったフィッシング攻撃で再利用されたり、犯罪者向けマーケットプレイスで取引されたりすることもあります。Beaconの公式インシデントレポートによると、調査担当者は2026年5月から7月までのAWSコスト・使用状況レポートを精査しました。
その結果、7月27日と28日にデータ転送量が異常に増加していたことが判明し、その規模はBeaconが保存している記録および添付ファイルの容量とほぼ一致していました。
同社の報告によると、最も早い悪意ある活動はUTC時間で7月27日の01:20:16に発生しました。攻撃者はおよそ1時間27分にわたりアクセスを維持し、その後Beaconが侵入経路を遮断しました。
フォレンジック調査の証拠から、攻撃者は限られた一部のレコードにアクセスしたのではなく、データベース全体と関連ファイルの添付資料をエクスポートしていたことが示されています。Beaconは、この活動を特定の脅威アクターやグループに帰属させる発表は行っていません。
今回のインシデントは、正規の認証情報が盗まれた場合にクラウドストレージの暗号化がどこまで有効かという、根本的な限界も浮き彫りにしています。Beaconによると、データはAWS上で保管時暗号化(encryption at rest)が施されていました。
しかし攻撃者は有効なAWSアクセスキーを使って認証していたため、AWSのサービスは正規のセッションとして通常どおりデータを復号してしまいました。
その結果、保管時暗号化はデータが読み取り可能な形式でダウンロードされることを防げませんでした。今回の侵害は、短期間で失効する認証情報、最小権限のIAMポリシー、シークレットスキャニング対策、そして公開されているビルド成果物の継続的な監視の重要性を改めて示しています。
Beaconは、AWSと連携するアクセスキーおよびシークレットを失効・ローテーションし、クライアント側のJavaScriptアセットから機密性の高いビルドパラメータを削除し、セキュリティテレメトリを拡充したと述べています。
同社はエンタープライズシステムおよびエンジニアの作業端末全体に、SentinelOne Cloud Native Securityと併せてエンドポイント検知ツールを導入しています。
調査担当者は、攻撃者が永続化を確立したり、バックドアを設置したり、二次的な足がかりとなるインフラを構築したりした形跡は見つかっていないとしています。
とはいえ、一括エクスポートが確認されたことにより、影響を受ける各団体はサポーターのデータ、寄付履歴、連絡先情報、アップロードされた文書などが露出した可能性を評価する必要があります。
この侵害は、英国のチャリティ・コミッション(Charity Commission)、情報コミッショナー事務局(ICO)、およびAction Fraudに通報されています。
Justice for ColombiaやCenter for Sustainable Energyを含む複数のBeacon顧客は、個人情報が露出した可能性についてサポーターへの通知をすでに開始しています。
Beaconによると、継続実施しているダークウェブ監視では、盗まれたデータが公開されたり、販売されたり、恐喝キャンペーンに使われたりした形跡は現時点で確認されていません。同社は、最終的な調査報告書が完成するまでの間、影響を受ける顧客に対し、自らの法的・規制上の通知義務を個別に確認するよう助言しています。
ANY.RUNのブラウザ内データ検査で、検知・調査・対応をより迅速に。フィッシングの可視性を高め、SOCを強化しMTTRを短縮
翻訳元: https://cyberpress.org/beacon-crm-data-breach-aws-key-compromise/
