ロシアの2つの募金プロジェクトが利用していた決済アカウントにハッカーが侵入し、寄付者のメールアドレスや一部の決済カード情報が流出したことが明らかになりました。攻撃を受けたのは、いずれもウクライナ人と政治犯を支援する団体です。
身元不明の脅威アクターが標的にしたのは、ロシアによる侵攻の影響を受けたウクライナの民間人を支援する募金プロジェクト「Davayte」と、ロシアの政治犯とその家族を支援するプロジェクト「You Are Not Alone」です。
両団体は火曜日にこの事案を公表し、攻撃は8月中旬に発生したもので、いずれも同じ侵入経路が使われたと説明しています。侵入経路となったのは、両団体がオンラインオークションの実施に利用していた、決済処理サービスStripeとWordPress向けオープンソースEコマースプラグイン「WooCommerce」との連携部分でした。
両団体の発表によると、攻撃者は一部の寄付者のメールアドレスを取得したほか、場合によっては決済カード番号の下4桁とカード発行銀行の情報も取得したとみられます。
ただし、カード番号全体や名義人氏名、個別の寄付内容に関する情報は流出していないとしています。Stripeは、攻撃者が寄付者のメールアドレスのデータベース全体をダウンロードする前に不正アクセスを遮断したと両団体は説明しており、両アカウントに関連する不正な取引が行われた形跡はStripe側でも確認されていないとのことです。
Davayteはこれを受けて、サードパーティ連携を無効化し、アクセスキーをローテーションするとともに、関係するヨーロッパのデータ保護当局に通知しました。攻撃の実行者が誰なのかは、依然として判明していません。
「今回の侵害について調査を進めていますが、一般的なサイバー犯罪者によるものか、ロシアの治安機関によるものかは、現時点ではまだ判断できません」とYou Are Not Aloneは述べています。
Davayteは2024年2月、Meduzaやテレビ局「Dozhd(TV Rain)」を含む複数の独立系ロシアメディアによって、ロシアのウクライナ侵攻の影響を受けた民間人への人道支援を目的として立ち上げられました。同団体によると、2024年には43万7,000ドル以上の寄付を集めたとのことです。
You Are Not Aloneは2023年以降、独立系ロシアメディアと反体制派グループによって運営されています。集めた寄付金は、収監者への食料・医薬品の提供、拘置施設内の口座への入金、法的費用や日常的な出費の補填、家族が面会に赴く際の渡航支援、さらには釈放後の一部受刑者への支援などに充てられています。同キャンペーンによると、活動開始から3年間で約140万ドルの寄付を集め、およそ800人の政治犯とその家族を支援してきたとのことです。
ロシア当局は両プロジェクトの運営母体を「好ましくない団体」に指定しており、これらの団体を支援するロシア国内の人々は訴追のリスクにさらされています。ロシアの法律では、「好ましくない団体」への寄付や、そのための資金調達を行うと最長5年の禁錮刑が科される可能性があり、寄付者を特定しうる情報は特に機密性が高いものとなっています。
今回の事案は、Stripeの加盟店がより広範に狙われているとの報告が相次ぐ中で発生しました。ただし、それらの攻撃と今週公表された今回の情報流出との間に、確認された関連性はありません。
8月上旬には、「Satanic」というエイリアスを使うハッカーが、669社のStripe加盟店に関するデータと、それらのアカウントに関連する1,000件以上のアクセスキーを含むとされるアーカイブファイルを、あるサイバー犯罪フォーラムに投稿しました。
この事案でStripe自体が侵害を受けたかどうかは不明です。独立系ロシアメディアThe Bellによると、流出したアーカイブに含まれる記録は6月1日付で終わっているため、8月にDavayteとYou Are Not Aloneから盗まれたデータがこのデータセットに含まれていた可能性はないとみられます。同メディアの報道によると、Davayteは、Stripeの他の顧客が同様の被害に遭っていないかを調べる手がかりとなる情報の提供をStripeに求めたとのことです。
Stripeはコメント要請に応じませんでした。
今回の情報流出を受けて、You Are Not Aloneは、ロシア国内に居住する人やロシアへ渡航する人、また外国での銀行取引をロシアの税務当局に報告する義務がある人に対し、海外発行のカードを使った寄付を控えるよう呼びかけています。同団体はこれまで、ロシア発行のカードによる決済を一切受け付けていません。Davayteも同様に、ロシアへの渡航を予定している寄付者に注意を促しています。
翻訳元: https://therecord.media/hackers-russia-fundraisers-ukraine
