Recoが、ShinyHuntersの手口と類似する新たな攻撃手法を確認
Recoの研究者らによると、SalesforceおよびServiceNowのシステムに保存されたレコードが攻撃の標的となっており、ユーザーデータが露出する事態になっています。
Recoによれば、今回の攻撃は恐喝グループShinyHuntersの手口と類似しているといいます。ShinyHuntersは今年に入り特に活発に活動しており、1月には出会い系サイトを攻撃し、6月にはOracleを攻撃しています。今回も同グループが新たな標的を見つけたのではないかとの懸念が広がっています。
Recoは今回の一連の攻撃キャンペーンを、攻撃者のIPアドレスに関連付けられたドメイン名にちなんで「City-Forum」と名付けました。ShinyHuntersの過去の手口と類似点があるものの、相違点も存在します。今回攻撃者は、Recoがこれまで確認したことのない攻撃経路であるUI-APIレイヤーを通じてシステムに侵入し、独自のツールセットを開発して攻撃を実行していました。また、オンライン上にほとんどドキュメントが存在せず、よく知られたオープンソースツールもないServiceNow Service Portal固有の検索エンドポイントも標的にしています。
Recoによると、攻撃者が各種サービスを入念に調査し、データ漏えいにつながるさまざまな一般的な経路をマッピングしていた点は特筆に値し、高度な手法を用いていることがうかがえます。
攻撃者が何者であり、どのような手段で攻撃を実行したかにかかわらず、一つ明らかなことがあります。それは、組織はログイン認証情報を誰に付与するか、これまで以上に慎重にならなければならないということです。
ソース: csoonline.com
