データ漏洩通知サービスのHave I Been Pwnedによると、恐喝グループShinyHuntersは今月初めにアパレル大手カーハート(Carhartt)から窃取したセンシティブなデータを、約1,300万件のアカウント分公開しました。
1889年創業のカーハートは米国のアパレル企業で、ケンタッキー州とテネシー州にワークウェア・ストリートウェアの製造施設を持ち、米国と欧州に3,000人以上の従業員を抱えています。
カーハートはこの恐喝グループの主張を確認したり、侵害について声明を発表したりしていませんが、ShinyHuntersは8月13日にこの攻撃を主張し、顧客、従業員、企業に関する幅広いデータを含む50GB超の文書を窃取したと述べました。
このサイバー犯罪集団は「数百万件に及ぶ顧客データや、従業員・顧客・顧客のメタデータ(ロイヤルティ情報)を含む膨大な量の機密情報および個人識別情報(PII)、その他の社内企業データが流出しました」と述べています。
ShinyHuntersはまた、アパレル大手に330万ドルの身代金要求への支払いを迫ったものの失敗に終わったとして、窃取したとされる記録のアーカイブをダークウェブ上で公開しました。
ShinyHuntersによると、同社の交渉担当者は「経営陣との慎重な検討と内部協議の結果、交渉やこれ以上の話し合いを進めないことを決定しました」とこの恐喝集団に伝えたとのことです。
Have I Been Pwnedの創設者トロイ・ハント氏は、ShinyHuntersがダークウェブサイトで公開した50GBのアーカイブを分析した結果、今回のデータ漏洩をカーハートのDatabricks分析プラットフォーム(標準的なビジネスレポート機能とデータストレージを統合アーキテクチャに組み込んだクラウドベースのデータプラットフォーム)の侵害に関連づけました。
ハント氏はさらに、今回のデータ漏洩はカーハートの1,290万件を超えるアカウントに影響しており、流出した情報にはユニークなメールアドレス、氏名、電話番号、住所が含まれると述べています。また「実在の個人とは関係のない合成レコードが数百万件含まれており、これらは漏洩の対象から除外されています」とも付け加えました。
Have I Been Pwnedの創設者はまた、流出したデータベースの中に@carhartt.comのメールアドレスを持つ従業員が15,000人以上含まれていることも発見しました。
BleepingComputerが今回の事案について追加のコメントを求めてカーハートに問い合わせたところ、広報担当者からは直ちに回答を得られませんでした。
この1年間、ShinyHuntersはSnowflakeの顧客企業12社以上や、多数のサードパーティ統合プロバイダーにおける侵害にも関与が指摘されており、数百社のSalesforce顧客への侵害も主張しています。同グループはSalesforce AuraおよびSalesloft Driftを標的としたキャンペーンで、15億件を超えるレコードを窃取したと主張しています。
最近では、ShinyHuntersは100を超える組織における一連の侵害についても、Oracle PeopleSoftのゼロデイ脆弱性を悪用したデータ窃取攻撃を受けたものとして、犯行声明を出しています。
ShinyHuntersが犯行を主張した侵害には、欧州委員会、Google、Cisco、オンラインデーティング大手のMatch Group、PornHub、動画配信サービスのVimeo、Rockstar Games、教育技術大手のMcGraw Hill、コンビニエンスストアチェーンの7-Eleven、クルーズ運航会社のCarnival、オンライン教育企業のUdemy、そして医療機器メーカーのMedtronicが含まれています。
