米医療関連企業マカーソン(McKesson)は金曜日、データ窃取と一時的なサービス中断を伴うサイバー攻撃を公表しましたが、事業拠点と流通センターは引き続き稼働していると発表しました。
マカーソンの最高情報技術責任者(CITO)を務めるフランシスコ・フラガ氏は土曜日の声明で、攻撃者が同社のサードパーティ製アプリケーションの一部に侵入し、腫瘍学、マルチスペシャルティ、外科手術関連の各事業部門における一部顧客に関連するデータを窃取したと明らかにしました。
マカーソンは医療業界における大手企業であり、北米全域で使用される医薬品の約3分の1を流通させているとしています。3月末までの1年間の売上高は4034億ドルに上ると報告しています。
その規模と担っている重要な役割から、同社はサイバー犯罪者にとって注目度の高い標的にもなっています。マカーソンは攻撃の実行者を特定していませんが、大量の機密データを窃取した上で恐喝を行う手口で知られるサイバー犯罪グループ「ShinyHunters」が犯行声明を出しています。
マカーソンはShinyHuntersの主張に関する質問への回答を拒否しています。しかし金曜日、同社は規制当局への提出書類の中で今回の攻撃を公表しており、ShinyHuntersも自らのデータリークサイトに同社を追加しています。
マカーソンによると、攻撃の発覚は8月25日でした。研究者らによれば、大規模なデータ窃取が行われていた期間はその時点ですでに終了しており、侵入は8月21日から4日間にわたっていたとされています。
フラガ氏は声明で「発覚後、直ちにインシデント対応プロトコルを発動し、調査を開始するとともに、対応を支援するために業界トップクラスのサイバーセキュリティ専門家を起用しました」と述べています。
さらに同氏は「現時点で、当社システム内において不正な活動が継続していないことを合理的に確認できています。お客様は引き続き、当社のシステムおよびサービスを通常どおりご利用いただけます」と付け加えています。
マカーソンの調査が続く一方で、同社はShinyHuntersが設定したとされる9月1日という切迫した期限にも直面しています。報道によれば、同グループは5500万ドルを超える身代金を要求しているとされています。
マカーソンは、身代金要求の有無や、攻撃者とされる主体への対応の有無に関する質問には回答していません。
マカーソンが今回受けた攻撃の状況は、ShinyHuntersによる他の最近の被害事例と類似しています。この脅威グループは通常、ソーシャルエンジニアリングやID管理上の脆弱性を悪用してクラウドホスト環境への侵入を図り、大量の機密データや専有データを窃取した上で、被害者が身代金を支払わなければ情報を漏洩すると脅迫する手口を取っています。
Flashpoint社でサイバー脅威インテリジェンス担当バイスプレジデントを務めるイアン・グレイ氏は、「日和見的なデータ恐喝犯たちは、IDおよびアクセス管理における脆弱性を見つけ出す能力を身につけており、これによってこうしたキャンペーンは低コストかつ大規模に展開可能なものとなっています」と指摘しています。
同氏はさらに、「こうした攻撃は、ベンダーがホストする環境内において、ソーシャルエンジニアリングによって取得した正規の認証情報を使って完全に実行されることが多いため、早期発見が特に困難です」と述べています。「この種の活動は通常のサポート業務やデータウェアハウス業務を模倣しているため、従来型のマルウェア警告が作動したり異常として検知されたりすることは通常なく、恐喝犯が接触してくるまで組織側が侵害に気づかないケースが多いのです」
研究者らはShinyHuntersについて、Oracle、Salesforce、Snowflakeといった主要クラウドプラットフォームを標的とした一連の攻撃との関連を指摘しています。この分散型のサイバー犯罪集団は、昨夏発生したSalesloft Driftの数百社に及ぶ顧客を巻き込んだ大規模な侵害にも関与したとされており、このAIチャットエージェントと連携する各種プラットフォームすべてがリスクにさらされる事態となりました。
4月には、ShinyHuntersが幼稚園から高校まで(K-12)および大学の課題・試験・成績・コミュニケーションの中枢を担うプラットフォームであるCanvasのシステムに侵入し、広範なサービス停止とデータ窃取を引き起こしました。当初設定された期限が支払いのないまま過ぎると、ShinyHuntersはCanvasの運営元であるInstructure社に対する圧力をさらに強め、同プラットフォームのログインページを改ざんして恐喝メッセージを表示させ、数百校の学校関係者の目に触れる事態となりました。
最終的にInstructure社は要求に応じ、サイバー犯罪者側と合意に達したと発表しました。同社は、窃取されたデータが返却されるとともに、他のコピーも破棄されるとの保証を得たとしています。
その数日後、FBIはShinyHuntersに関する公共広報(PSA)を発表し、今後被害を受ける可能性のある組織に対し、同脅威グループの圧力戦術や主張について警戒するよう呼びかけました。
マカーソンが被害に遭う1か月足らず前の7月下旬には、Health-ISACが医療業界の組織に向けて、ShinyHuntersによる攻撃の成功件数が増加していると警告を発していました。
翻訳元: https://cyberscoop.com/mckesson-data-theft-extortion-attack-shinyhunters/
