ASOSアカウント乗っ取り攻撃、13万8,828人の顧客データが流出

ASOSによると、攻撃者は同社以外から入手したログイン認証情報を使って顧客アカウントに不正アクセスし、推定13万8,828人分の個人情報が流出したとのことです。

同社は7月28日に不審な動きを検知し、翌日に不正アクセスを確認しました。Cyber Insiderによれば、今回の攻撃は、別のサービスから盗まれた認証情報を別のプラットフォームで使い回す「クレデンシャルスタッフィング」またはアカウント乗っ取りの手口と一致するとのことです。

ASOSによると、流出した可能性がある情報には、氏名、メールアドレス、配送先・請求先住所、電話番号、生年月日、および連携済みソーシャルメディアアカウントの詳細が含まれるとしています。なお、ソーシャルメディアのログイン認証情報自体は含まれていません。

通知には、限定的な決済カード情報として、カード名義人の氏名、カード番号下4桁、有効期限も記載されています。ASOSは、カード番号全体やセキュリティコードが流出したとは述べていません。

ASOSの対応と時系列

ASOSは、不審な動きを検知した翌日にあたる7月29日に、影響を受けたアカウントへのアクセスをブロックし、パスワードの再設定を義務付けました。顧客には7月30日に、新しいパスワードを作成するよう案内するメールが送信されています。

不審な取引が見られた一部のアカウントについて、ASOSは、該当取引は自動的にブロックされるか、同社の不正対策チームによってキャンセルされたと説明しています。

同社は、これらの対応を実施した後、追加の不正アクセスは確認されていないとしています。一般向けの通知は8月21日付で、初動封じ込めからおよそ3週間後のことでした。

より大きなリスクはパスワードの使い回し

今回の事案は、なぜクレデンシャルスタッフィング攻撃が小売業者にとって特に厄介な存在であり続けているかを示しています。顧客が他のサービスで使ったパスワードを使い回している場合、攻撃者は必ずしも企業のシステムに侵入する必要すらないのです。

Cyber Security Newsは、今回の事案について、攻撃者が既に流出していたユーザー名とパスワードの組み合わせをASOSアカウントに対して試した手口と一致すると説明しています。認証情報の流出元となった外部サービスは特定されていません。これは企業と消費者の双方にとって厄介なセキュリティ上の課題を生んでいます。小売業者は自社の防御を強化することはできますが、顧客が別のサービスから盗まれたパスワードを使い回しているかどうかまでは制御できないためです。

影響を受けた顧客が取るべき対応

顧客は、新しく固有のASOSパスワードを設定し、同じパスワードを他のサービスでも使い回している場合はそちらも変更する必要があります。また、注文履歴、登録済みの住所、支払い方法に不審な変更がないか確認し、銀行口座や決済の明細も注視することが求められます。

ASOSは、影響を受けた米国内の顧客に対し、信用情報レポートを確認し、なりすまし被害の疑いがある場合は不正利用の警告(フラウドアラート)やクレジットの凍結(クレジットフリーズ)を検討するよう推奨しています。

カード番号全体やセキュリティコードが流出していない点は、カード不正利用の直接的なリスクを多少下げるかもしれませんが、流出した氏名、住所、電話番号、生年月日、カード情報の一部は、より巧妙なフィッシングやソーシャルエンジニアリングの材料として悪用される可能性があります。

その他のニュース: ToxicPanda 2.0が16カ国の349の金融系アプリを標的にし、AndroidのVPN機能、アクセシビリティ機能、ワイヤレスデバッグ機能を悪用することで、感染端末をより深いレベルで制御下に置こうとしています。