セキュリティ
金の流れを追う
USバンクは、ランサムウェア集団ロックビットによる「同金融機関に侵入しデータを窃取した」との主張について調査していると発表しました。犯罪者側は、身代金要求に応じなければ9月3日にデータを漏洩すると脅迫しています。
「サイバーセキュリティ関連のインシデントの可能性についての主張は認識しています」と、USバンクの広報担当バイスプレジデントであるリー・ヘンダーソン氏はThe Register宛のメール声明で述べました。同行は、脅迫者側とやり取りをしたかどうか、ロックビットがいくら要求したのかといった具体的な質問への回答は控えています。
仮に脅迫者側の主張が事実であり、たとえ銀行が身代金を支払ったとしても、窃取されたファイルが削除される保証はどこにもありません。2024年に警察が旧ロックビットの摘発に踏み切った際には、被害者が身代金を支払った後も犯罪者側が被害者データを保持し続けていた証拠が見つかっています。
「現時点で、当行の内部システムが影響を受けている兆候や、ネットワークへの不正アクセスの証拠はありません」とヘンダーソン氏は続けます。「USバンクは、顧客および従業員の情報のセキュリティとプライバシーを非常に重要視しています。これらの主張について引き続き調査・監視を進めるとともに、サイバー事案への潜在的な露出を軽減すべく、常に警戒を怠らない姿勢を維持していきます」
ロックビットは水曜深夜、自らのリークサイトに同行を追加し、身代金を支払わなければ14日以内にデータをオンラインで公開すると通告しました。この投稿では、窃取したとされるファイルの数や内容については明らかにされていません。
2024年2月、国際的な捜査当局は悪名高いこのランサムウェア集団を解体すべく、サーバーやドメインインフラ、復号鍵を押収しました。さらに2024年5月には「LockBitSupp」の正体を暴露しましたが、ロシア国籍のドミトリー・ユーリエヴィチ・ホロシェフ容疑者は依然として逃亡中です。
しかし2025年9月、ロックビットは新たなランサムウェア亜種「LockBit 5.0」を引っさげて再登場しました。
ロックビットの今回の主張は、USバンク顧客のデータに影響を与えた過去のサードパーティ経由の侵害に続くものです。少なくとも1つの法律事務所は、USバンコープの主要子会社であるUSバンク・ナショナル・アソシエーションを相手取り、ベンダーであるフィデリティ・ナショナル・インフォメーション・サービシズを経由したサードパーティのセキュリティ不備でクレジットカード情報が漏洩した可能性のある一部の顧客を代表して、集団訴訟を検討中だとしています。
USバンクは5月7日にこのサードパーティ経由のインシデントを把握したとされており、6月にはマサチューセッツ州在住の顧客537人に対し、氏名、郵送先住所、クレジットカード番号が窃取された可能性があるとして通知を開始しました。
顧客の社会保障番号、オンラインバンキングの認証情報、口座残高については、アクセスされた形跡はないとされています。
2022年には、別のベンダーが解約済みのUSバンククレジットカード口座に関連する氏名、住所、社会保障番号、生年月日、解約口座番号、未払残高などの個人情報を含むファイルを「誤って共有」したことで、約11,000人の顧客に影響が及ぶ、はるかに大規模なインシデントが発生していました。®
