SECURITY
研究者らが侵害された認証情報を指摘する中、マクドナルド、ボーダフォン、TCS、Kyndryl等の企業名が挙がる
あるサイバー犯罪者が、マクドナルド、ボーダフォン、Kyndryl、タタ・コンサルタンシー・サービシズ（TCS）を含む大手企業のMicrosoft Azure環境から、数百万件に及ぶ従業員記録を窃取したと主張しています。
今回窃取されたとされるデータは9つの組織にまたがっており、「TheHatman」を名乗る脅威アクターが販売を持ちかけていると、Hudson Rockが公表した調査結果で明らかになりました。
TheHatmanの「販売リスト」の中で最大のデータセットとされているのはマクドナルドで、170万件の記録が売りに出されているとされています。続いてタタ・コンサルタンシー・サービシズから80万件、ボーダフォンから42万5,000件、HCLテクノロジーズから25万件とされ、さらにIHGホテルズ&リゾーツ、Kyndryl、Gap、Hexawareテクノロジーズ、ウィンダム・ホテルズ&リゾーツが名を連ねています。
Hudson Rockは、企業のメールアドレスやMicrosoft Azureディレクトリサービスからのエクスポートと一致する構造であることを根拠に、データは「本物である可能性が非常に高い」と評価しています。
これらの記録には、氏名や業務用メールアドレスをはるかに超える情報が含まれているとされています。同セキュリティ企業が確認したサンプルには、電話番号、住所、従業員ID、役職、部署、勤務先の所在地、報告系統、グループメンバーシップ、サービスアカウントの詳細などが含まれていると報じられています。
一部の記録には、グローバル管理者権限を持つアカウントも特定されているとされており、攻撃者にとって次の標的を絞り込む有用な「地図」を与えかねません。パスワードが含まれていなかったとしても、誰が「王国の鍵」を握っているかを知ることは、フィッシングの標的リストとして重宝されます。
TheHatmanがどのようにしてこの情報を入手したとされるのかは、依然として不明です。攻撃者は侵害された認証情報を使用したと主張していますが、Hudson Rockは初期侵入経路を独自に特定することはできませんでした。同社は、インフォスティーラー型マルウェアによって窃取された認証情報やセッションクッキー、フィッシング、脆弱もしくは存在しない多要素認証、過度に権限を許可されたサードパーティアプリケーションなど、いくつかの可能性を挙げています。
Hudson Rockによれば、同社のインフォスティーラーデータベースには、名指しされた企業のほとんどに関連する、侵害されたMicrosoftクラウド認証情報が含まれていたとのことです。ただし、それらの認証情報とTheHatmanの主張する侵入とを結びつけることはできなかったとしています。
Hudson Rockは次のように述べています。「被害を受けた組織の規模が非常に大きいことから、このキャンペーンはAzureの体系的なゼロデイ脆弱性によるものというよりも、インフォスティーラー感染を標的にした攻撃に起因する可能性が非常に高いと考えられます。もし広範な脆弱性が原因であれば、これらの巨大なフォーチュン500クラスの企業だけでなく、中小企業を含むもっと幅広い組織が被害を受けているはずです」
The Registerは、Hudson Rockが名指しした全組織に対し、実際に侵害を受けたのか、公開されているデータは本物なのか、また不正アクセスがどのように発生したのかについて問い合わせを行いました。あわせて、MicrosoftにもAzureまたはEntra顧客を標的とした、より広範なキャンペーンを把握しているかどうかを問い合わせています。
タタ・コンサルタンシー・サービシズは、インドの証券取引所に対して行った声明【PDF】をThe Registerにも送付しており、その中で「当社は、一部の従業員情報が漏えいした可能性を示唆する脅威インテリジェンス警告を受け取りました」と述べています。
声明は続けて次のように説明しています。「当社はこの件について調査を行いましたが、TCSのシステムまたは顧客環境が侵害されたことを示す信頼できる証拠は見つかりませんでした。言及されている情報は4年以上前のものとみられ、基本的な従業員情報に限られています。顧客データ、顧客システム、またはTCSの業務システムが影響を受けたことを示す兆候はありません」
「攻撃者は、パスワードスプレー攻撃および多要素認証（MFA）疲労攻撃を手口として使用したと主張しています。当社は2年以上前から、こうした手口に対する強固な防御策を講じています。現時点の調査結果では、これらの対策は引き続き有効に機能していることが確認されており、当社は環境の監視を継続しています」
さらに次のように述べています。「当社は今後入手する新たな情報についても引き続き評価を行い、必要に応じて適切な対応を取ってまいります。当社は、システムのセキュリティと堅牢性を維持し、お預かりしている情報を保護することに引き続き注力してまいります」
TheHatmanはデータを保有していると主張しています。しかし、それが9社もの企業ディレクトリからどのようにして持ち出されたのかについては、まだ誰も説明していません。®
