- ハッカー「TheHatman」が大手企業からAzure/Entraの従業員記録数百万件を盗んだと主張
- データには氏名、メールアドレス、役職、特権アカウントが含まれ、なりすましや詐欺のリスクあり
- 被害企業は流出範囲を否定するも、研究者はインフォスティーラーによる窃取であり流出データは本物である可能性が高いと指摘
あるサイバー犯罪者がダークウェブ上で数百万件のユーザー記録を販売しています。McDonald’s、Tata Consultancy Services、Wyndham Hotelsといった大手企業から盗み出したものだと主張しています。
「TheHatman」を名乗るハッカーは、ダークウェブのフォーラムに複数のスレッドを投稿し、AzureおよびEntra環境から情報を盗み出したと主張しました。
TheHatmanによれば、侵入には流出済みのログイン認証情報を使用し、約10社を標的にしたとのことです。
何がどこから盗まれたのか
被害企業と流出した記録件数は以下の通りです。
McDonald’s Corporation：1,700,000件
TCS（Tata Consultancy Services）：800,000件
Vodafone：425,000件
HCL Technologies：250,000件
InterContinental Hotels Group（IHG）：185,000件
Kyndryl：170,000件
Gap Inc.：80,000件
Hexaware Technologies：20,000件
Wyndham Hotels：9,000件
TheHatmanは現在、買い手を探している状況です。「McDonald’s Corporationの内部従業員データダンプを販売する。流出した認証情報を使ってAzureテナントから直接ダウンロードしたものだ」と、投稿の一つで述べています。
Cybernewsのセキュリティ研究者による調査記事によると、ダークウェブに投稿されたサンプルの一つを分析した結果、その内容は「Azureのディレクトリエクスポートと一致する」ものだったといいます。
そこには従業員の氏名、メールアドレス、電話番号、役職、勤務先住所、ID、所属部署、ユーザーグループのメンバーシップ、サービスアカウント、そして高い権限を持つアカウントの記録が含まれていました。
どのようなリスクがあるのか
氏名やメールアドレス、勤務先情報の窃取は、一見それほど深刻なプライバシー侵害には思えないかもしれません。しかし、その影響は決して小さくありません。サイバー犯罪者はこうした情報を悪用し、取引先や大口顧客になりすまして従業員を騙し、ランサムウェアをインストールさせたり、不正な送金を行わせたりする可能性があります。こうして、一見比較的軽微に見える情報漏洩を、金銭的・法的な深刻な結果を伴う本格的なサイバー攻撃へとエスカレートさせることができるのです。
例えば、犯罪者はVodafoneの従業員の中から、特定のサプライヤーへの支払いを日常的に担当している人物を見つけ出すかもしれません。そのサプライヤーの財務責任者になりすまして会話を持ちかけ、新たな支払いを要求する際に、会社の銀行口座が変更になったと伝える、といった手口です。これは単なる理論上のシナリオではなく、実際に何度も確認されている手口です。
被害企業側の反応は
ほとんどの企業は、この主張について公式な声明をまだ出していません。GapはBleepingComputerの取材に対し、侵害の証拠は見つかっておらず、攻撃者は過去の事件のデータを再パッケージ化したにすぎないとみられると述べています。
「予備調査の結果、問題となっているデータは範囲が限定的で機密性が低く、数年前のものであることが判明しています。特に、当社の社内システムが侵害されたことを示す証拠は見つかっていません」と、Gapは同メディアに説明しました。
Tata Consultancy Servicesは先週、インド国立証券取引所に対しこの情報漏洩について通知しており、同社もこれが過去の事件の再浮上であるとの見方を示しています。
「当社はこの件について調査を行いましたが、TCSのシステムや顧客環境が侵害されたことを示す信頼できる証拠は見つかりませんでした」と、TCSは届出の中で述べています。「言及されている情報は4年以上前のものであり、基本的な従業員情報に限られています。顧客データ、顧客システム、あるいはTCSの業務システムが影響を受けたことを示す兆候はありません」
TCSは、攻撃者がクレデンシャルスタッフィング（認証情報の総当たり攻撃）によって侵入したと述べており、これは数年前であればあり得た手口だとしています。「攻撃者はパスワードスプレー攻撃と多要素認証（MFA）疲労攻撃を攻撃手法として使用したと主張している。しかし当社は2年以上にわたり、こうした手法に対する強固な防御策を講じてきた」
もっとも、この見解に全員が同意しているわけではありません。セキュリティ研究者のHudson Rockは、攻撃者はパスワードスプレー攻撃ではなく、インフォスティーラーによってログイン認証情報を盗んだとみています。
「影響を受けた組織の規模が非常に大きいことを踏まえると、このキャンペーンはAzureにおける組織的なゼロデイ脆弱性ではなく、インフォスティーラー感染を狙った標的型の悪用に起因している可能性が極めて高いと考えられます」と、Hudson Rockは報告書の中で述べています。「もしこれが広範な脆弱性によるものであれば、こうした巨大なFortune 500クラスの企業だけでなく、中小企業も含めたより幅広い組織が影響を受けているはずです」
Hudson Rockはまた、盗まれたデータについて「本物である可能性が非常に高い」と表現し、データが古いからといって有用性がないわけではないことを示唆しています。
