RingCentralの情報漏えい、HIBPによると160万件のメールアドレスが流出

RingCentralが7月に公表したセキュリティインシデントは、同社が当初開示していたものよりもはるかに大規模な、公開データセットと結び付いていることが明らかになりました。

Have I Been Pwnedは8月13日、このインシデントを自社の漏えいデータベースに追加し、流出データには160万件の一意なメールアドレスに加え、氏名、電話番号、住所が含まれていたと発表しました。RingCentralは当初、このインシデントの影響を受けたのは顧客の「一部に限られる」とし、影響を受けた顧客には個別に連絡すると説明していました。

流出した連絡先データにより、影響を受けたユーザーのフィッシング被害リスクが高まる可能性がありますが、研究者らはこの情報漏えいと、RingCentralを装ってMicrosoft 365の認証情報を窃取する別のキャンペーンとの関連性は確認していません。

HIBPが示すRingCentral情報漏えいの規模

Have I Been Pwnedによると、RingCentralは7月、ShinyHuntersによる「支払うか、さもなくば流出か」という恐喝キャンペーンの標的にされました。同グループはその後、同プラットフォームから入手したと主張するデータを公開し、その中には160万件の一意のメールアドレスに加え、氏名、電話番号、住所が含まれていました。HIBPは8月13日、この情報漏えいを自社データベースに追加しました。

RingCentralは7月28日にこのインシデントを公表し、巧妙なソーシャルエンジニアリングキャンペーンを検知し、検知後に不正アクセスを停止したと説明していました。同社はサードパーティのフォレンジック企業を起用し、対策実施後は新たな不正アクセスは確認されていないとしています。

RingCentralによると、このインシデントの影響を受けたのは顧客データの一部に限られており、該当する顧客には個別に連絡しているとのことです。 

「RingCentralから連絡がない場合、お客様は影響を受けていません」と同社は述べています。また、RingCentralは中核プラットフォームへの影響はなく、サービスは中断することなく継続していたとも説明しています。

流出データがフィッシングリスクを高める一方、直接的な関連は未確認

BleepingComputerの報道によると、RingCentralを装った偽メールはSPFおよびDMARCの検証に失敗し、DKIM署名も付与されていませんでした。それにもかかわらず、受信システム側ではRingCentralがホワイトリストに登録されていたため、これらのメールが受理されてしまいました。

この偽メールのリンクをクリックすると、被害者はGreatnessの攻撃基盤に誘導され、攻撃者はAiTM(中間者攻撃)型フィッシングやデバイスコードフィッシングを用いてMicrosoft 365アカウントを狙いました。一部のケースでは、攻撃者はその後、窃取した認証トークンを使ってOutlook、Teams、SharePoint、OneDriveなど他のMicrosoft 365サービスにもアクセスしていました。

ZeroBECによると、今回のRingCentralの情報漏えいにより、Greatnessの攻撃者は標的とすべき正規のRingCentralユーザーの一覧を入手した可能性があるとのことです。ただし、研究者らはこの関連性を検証できておらず、現時点で得られている証拠に基づく限り、情報漏えいとフィッシングキャンペーンは別個のインシデントとして扱われています。

RingCentralの安全な送信者ルールとMicrosoft 365アクセスの監査を

ZeroBECは、RingCentralを一括で除外する安全な送信者リストの設定を確認するよう推奨しています。ドメインを自動的に信頼するのではなく、組織はメール認証チェックを通過することを必須にできます。

管理者はまた、ホスティングプロバイダーやVPN基盤から発信された不審なMicrosoft 365サインインにも注意を払う必要があります。アカウントが侵害された可能性がある場合、ZeroBECはアクセス権とリフレッシュトークンを失効させ、OAuthの同意状況、Microsoft Graphのアクティビティ、そしてMicrosoft 365サービスへのアクセスを確認するよう推奨しています。

RingCentralの顧客にとって、今回のHIBPへの登録は、同社の名前を使ったメッセージに注意すべき理由がまた一つ増えたことを意味します。新たにデータベースに登録された漏えいデータには、メールアドレス、氏名、電話番号、住所が含まれており、こうした情報は標的型フィッシングをより巧妙に見せかねません。

セキュリティチームにとっての当面の教訓はシンプルです。ブランドに基づく許可リストの設定が、メール認証の失敗という判定を上書きしてしまうことがあってはならない、という点です。 

次の記事もおすすめです: 偽のボイスメールメッセージによってGoogleの認証情報が盗まれている実態と、ユーザーが注意すべきポイントについて解説しています。

Kezia Jungco

Kezia Jungcoは、人工知能、データ分析、CRMソフトウェア、クラウドインフラ、サイバーセキュリティ、そして新興のビジネステクノロジーを専門とするテクノロジーライター兼リサーチャーです。ソフトウェアプラットフォームやテクノロジーソリューションの評価において5年以上の経験を持ち、ビジネスリーダーが仕事の未来を形作るツールやトレンドを理解する手助けをしています。
Keziaは、生成AIプラットフォーム、チャットボット、自然言語処理(NLP)ツール、CRMシステム、ビジネスソフトウェアの検証・分析において豊富な実務経験を有しています。彼女の取り組みは、複雑なテクノロジーを実践的な知見に落とし込み、テクノロジー導入、業務効率化、デジタルトランスフォーメーションについて組織が的確な意思決定を下せるよう支援することに主眼を置いています。
TechnologyAdvanceのスタッフライターとして、Keziaは AIイノベーション、機械学習のビジネス活用、データ駆動型テクノロジー、クラウドコンピューティング、サイバーセキュリティ、営業テクノロジーを取材しています。ジャーナリズム、リサーチ、教育分野での経歴を活かし、厳密な分析と、企業・一般読者双方にとって分かりやすい明快な報道を両立させています。
Keziaはフィリピン大学ロスバニョス校で開発コミュニケーション学の学士号(開発ジャーナリズム専攻)を取得しています。また、人工知能、データプライバシー、情報セキュリティに関する専門的なトレーニングも修了しています。彼女の記事はTechnologyAdvice、TechRepublic、eWeek、Datamation、Selling Signalsに掲載されており、急速に進化するテクノロジーの世界を読者が実践的かつ調査に基づいたガイダンスとともに読み解けるよう支援しています。