Brightly Softwareの元データアナリスト契約社員が、雇用主を標的とした250万ドル規模の恐喝事件で禁錮2年の判決を言い渡されました。
Brightlyは、かつてSchoolDudeという名前で知られていたSaaS(Software-as-a-Service)企業で、2022年8月にSiemensに買収されました。Brightlyは700人以上の従業員を抱え、世界中で12,000社を超える顧客に資産管理・メンテナンス用ソフトウェアを提供しています。
ノースカロライナ州在住の27歳の男性Cameron Curry(通称「Loot」)は、雇用主を標的とした「大規模なサイバー恐喝スキーム」を首謀した罪で、3月に有罪判決を受けていました。
裁判資料によると、Curryは同社の給与情報や企業データにアクセスして機密文書を盗み出し、自身の6か月間の契約が更新されないことを知った後、その情報を使ってBrightlyを恐喝したとされています。
12月10日に契約が終了した翌日から2023年12月11日から2024年1月24日にかけて、Curryは「Loot」というエイリアスと[email protected]というメールアドレスを使い、Brightlyの従業員数十人にメールを送りつけ、250万ドルの身代金を暗号資産で支払わなければ盗んだ情報を流出させると脅迫しました。
「2024年1月1日から、給与情報を段階的にすべての従業員に開示していく。その後、侵害を報告しなかったことについてSECにも通報する」と、Curryは恐喝メッセージの一つでこう述べています。
「データを取り戻したいのであれば、会社と株価を守るために早急に250万米ドルを支払うことを勧める。支払いが月をまたぐごとに10万米ドルずつ増額されるためだ。現在、貴社の帳簿には1,600万米ドルを超える不一致があり、人材の引き留め問題、敵対的な職場環境、従業員の不満などのリスクを抱えている」
また、Curryは従業員の氏名、生年月日、自宅住所、報酬情報などの個人識別情報(PII)を含むスクリーンショットを添付し、侵害を開示しなかったことについてBrightlyを米証券取引委員会(SEC)に通報すると脅迫しました。
Curryによる度重なる恐喝メールを受け、Brightlyは7,540ドル相当のビットコインを支払い、Curryが管理する暗号資産ウォレットに送金しました。
同社がこの事件を法執行機関に通報した後、FBIは1月24日にCurryの自宅を捜索し、恐喝スキームへの関与を示す証拠を含む複数の電子機器を押収しました。
「Cameron Curryが恐喝罪で有罪判決を受けたことは、米司法省(DOJ)から把握しています」と、Brightlyは3月にBleepingComputerに対して述べています。
「私たちはこの件についてFBIおよびDOJに全面的に協力しており、両機関の捜査努力に感謝しています。この訴訟手続きが係属中であることを踏まえ、すべての質問については法執行当局にお尋ねください」
Brightlyは2023年5月にも、今回の件とは無関係のデータ侵害を公表しています。この際は、攻撃者がSchoolDudeオンラインプラットフォームのデータベースから、約300万人の顧客・ユーザーの認証情報や個人データ(氏名、メールアドレス、アカウントパスワード、電話番号を含む)を盗み出すデータ侵害が明らかになっていました。
攻撃者が正規の認証情報を入手すると、その行動のうち阻止できるのはわずか37%
全体的な防御スコアだけでは、初期侵入後に何が起きるかは見えてきません。攻撃者が正規の認証情報を使い始めると、防御の成功率は急激に低下します。
The Blue Report 2026は、顧客の本番環境で実施された3億3,800万回のシミュレーションをもとに、防御技術ごとの実効性を測定しています。
