データ恐喝グループ「ExfilSquad」に関する新たな分析により、同グループが政府、教育、金融サービス、製造業などの分野に属する少なくとも13組織から流出させたデータとの関連が明らかになりました。
Fortra Intelligence and Research Experts(FIRE)は、同グループが公開したデータサンプルを精査し、機密データへのアクセスを持っているという犯罪者側の主張が事実であると結論付けました。
7月26日に初めて姿を現したこのグループは、15の組織からデータを窃取したと主張しています。
8月7日には、13組織分のデータダンプがトレント経由で公開されました。犯罪グループは、これらの組織が(身代金の)合意条件を満たさなかったためだと主張しています。
「[被害組織]_exfilsquad」と題した完全なアーカイブがダウンロード可能な状態で公開され、13組織分の総データ量は382.64GB、2,700万件のレコードに上るとされています。
被害組織には、アトランタ市(atlantaga.gov)、英国教育省(education.gov.uk)、そして英国警察全国法務データベースが含まれていました。
ワシントンD.C.公立学校区(DCPS)も攻撃者のリストに名を連ねており、次のようなメモが添えられていました。「我々は大勢の子供たちの個人情報を暴露するつもりはないが、DCPSがわずか6歳の子供たちの情報の保護すら満足にできない、いかに無能であるかは明らかにするつもりだ。そのため、検閲を施したバージョンの漏洩データを公開し、原本は自分たちのサーバーから完全に消去した」
今回のケースでは、生徒の氏名、生年月日、固有の生徒識別番号など、個人を特定できる情報(PII)を含む6万件のレコードが流出しました。
FIREチームによれば、当初の15組織のリストに含まれていたZenith Bank PlcとAnalog Devicesは、今回の被害組織リストには含まれていなかったとのことです。
不正アクセスと設定不備のPower Pages
研究者らによると、今回のデータ侵害はMicrosoft D365のCRMおよびERPインスタンスへの不正アクセスに限定されている可能性が高いとのことです。
「データ窃取を可能にした侵入経路として最も有力視されているのは、一般公開の読み取りアクセスを許してしまうMicrosoft Power Pageポータルの設定不備だ」とFIREチームは記しています。
Power Pagesは、モダンで外部公開向けのビジネスサイトを作成・ホスティング・管理するために設計されたSaaSプラットフォームです。
流出したデータの形式はMicrosoft Dataverseのエクスポート形式と一致しており、Fortraはこれが今回のインシデントにおいて不正な読み取りアクセスが行われた可能性を裏付けていると指摘しています。
攻撃者は、設定に不備のあるMicrosoft Power Portalsをクローリングする手法や、その他の列挙手法によって被害組織を特定した可能性が高いとみられています。
Fortraの研究者らは、今回のデータ侵害が数万件ではなくわずか15組織にとどまっていることから、D365の脆弱性がデータ侵害の原因である可能性は低いと指摘しています。
同社はまた、Microsoft Power Pagesにおける既知の問題として、匿名ユーザー(Anonymous Users)のWebロールがテーブル権限に割り当てられている場合、そのテーブルのデータはサイトを訪れた誰でも読み取れてしまう点を挙げています。
Power PagesにはAPI経由でアクセス可能で、具体的にはhttps://<portal>/_api/*というエンドポイントが使われます。
Microsoftは公式ドキュメントにおいて、一般公開されているサイトでこのロールを使用しないよう推奨しています: https://learn.microsoft.com/en-us/power-pages/security/assign-table-permissions。
公開されているPower Pagesサイトを自動スキャンする手法は既知の手口だとFortraは指摘しており、同社は自社の調査において、一般からアクセス可能な状態にあるPower Pagesインスタンスを1万件以上特定できたとしています。
翻訳元: https://www.infosecurity-magazine.com/news/exfilsquads-13-organizations/
