1,000超の慈善団体、Beacon CRMのデータ侵害被害に

英国拠点の顧客関係管理(CRM)プロバイダーであるBeaconは今週、複数の組織に影響を及ぼした今回のデータ侵害の根本原因とみられる内容を明らかにしました。

BeaconのCRMプラットフォームは、慈善団体をはじめとする非営利組織が、寄付者、支援者、ボランティア、および関連する資金調達・サービス活動を管理するために設計されています。

同社は8月上旬、ハッカーが顧客データベースのバックアップをダウンロードするデータ侵害を受けたことを明らかにしていました。データは暗号化されていたものの、Beaconは攻撃者が窃取前にこれを復号していた可能性があると認めています。

今週共有された最新情報の中で、Beaconは、最も早い不審な活動が7月27日に確認され、ハッカーによるデータの転送はおそらく7月27日から28日にかけて行われたと報告しました。

「利用可能なログからは、具体的にどのオブジェクトが、どのダウンロード先へ転送されたか、またどのオブジェクトにアクセスされたかを確定的に特定することはできません」と同社は述べています。「しかし、データ転送量とシステム全体に保存されているデータの総量を精査した結果、脅威アクターはデータベース内に含まれるすべてのデータをエクスポートしたというのが我々の評価です」

Beaconの調査により、脅威アクターは侵害されたAWSアクセスキーを利用してAWS環境からデータを取得していたことが判明しました。このアクセスキーは、一般公開されていたJavaScriptのビルド成果物の中で露出していた可能性があります。

影響を受けた英国の慈善団体の中には、独自に声明を発表したところもあり、一部は今回の事案がBeaconの1,000を超える全顧客に影響することを明らかにしています。

一部の慈善団体によると、支援者に関する個人情報が漏えいした可能性があり、これには氏名、電話番号、メールアドレス、郵送先住所が含まれるとのことです。

また別の団体は、銀行口座番号、ソートコード、カード番号、カードセキュリティ情報といった機密性の高い金融情報はそもそも保存していないため、これらが流出することはなかったと指摘しています。

英国政府のCharity Commission(チャリティ委員会)はこの状況を監視しており、影響を受けた組織向けのガイダンスを発表しています。

Beaconに対する今回の攻撃について、犯行声明を出しているサイバー犯罪グループは今のところ確認されていません。同社は、窃取されたデータが公開された事実は把握していないとしています。