CARS24のデータ侵害で顧客記録3,100件が流出、リードは1件あたり1,000ルピーで販売か

中古車販売プラットフォームのCARS24は、約3,100人の顧客に関する機密情報が盗まれ、競合他社や外部ディーラーに提供されたと主張しています。同社によれば、リード情報は1件あたり約1,000ルピーで取引されており、商業的損失は5.70クローレ(5,700万ルピー)に上ると見積もられています。

この件はCARS24の法務責任者であるShyamal Anand氏によってサイバー犯罪警察署に届け出られました。FIR(第一情報報告)にはPreeti、Pallavi、Kalpana、Sahil Rana、Mohitの5名が名指しされています。CARS24は、3月から8月にかけて顧客および事業データが持ち出され、パンジャブ州を拠点とするDirect-Cars社に提供されたと主張しています。

ComputerSecurity

これらの疑惑はまだ立証されていません。警察は、記録がどのようにCARS24のシステムから流出したとされるのか、誰がアクセスしたのか、そして他のディーラーにもデータが渡っていたのかどうかを捜査しています。

CARS24のデータ侵害で顧客記録3,100件が流出

流出したとされるデータセットは、電話番号にとどまらないものだったようです。the420の報道によれば、顧客名、携帯電話番号、車両情報、来店予約、査定報告書、価格情報、営業リード、さらには社内の業務記録まで含まれていたとされています。

中古車市場において、こうした情報は商業的に非常に価値があります。リード情報を持つディーラーは、ある人物が特定の車両の売却あるいは購入をすでに検討していることを把握でき、場合によっては想定価格や査定予約の日程まで知ることができます。

広告費をかけて見込み客を発掘する代わりに、ディーラーは顧客に直接連絡を取り、より良い条件を提示できてしまうのです。

CARS24によると、社内調査により、1件あたり約1,000ルピーでリード情報がやり取りされていたことを示すとされるWhatsAppでのやり取りが発見されたとのことです。

5.70クローレという見積額は、今回の情報流出によって失われたと同社が考える商機を反映したものであり、警察による独自の裏付けはまだ取れていません。同社がこの問題を把握したのは、別会社と関係のある人物がCARS24の顧客に接触してきたことがきっかけだったと報じられています。

今回のケースは、データ侵害が必ずしも外部からのファイアウォール侵入を意味するわけではないという点を浮き彫りにしています。データベースへの正規のアクセス権を持つ従業員、委託業者、あるいは提携先が、無断で情報をコピー・共有・販売すれば、それもデータ侵害となり得るのです。

捜査当局は、アカウント権限、ログイン履歴、ダウンロード記録、エクスポート操作の履歴、端末の利用状況、メール、その他の監査ログを調べることで、流出経路の特定を進めることができます。

リード情報のデータベースを保有する企業にとって、今回の事例は最小権限の原則によるアクセス管理、大量エクスポートの監視、データ漏洩防止(DLP)対策、そして改ざん不能なログ管理の重要性を改めて示すものとなっています。

今のところ、流出したとされるCARS24のデータが金融詐欺に悪用されたという証拠はありません。しかし、顧客の氏名、電話番号、車種、出品状況、想定価格といった詳細情報は、標的型のソーシャルエンジニアリングに悪用される可能性があります。

こうした詳細情報をあらかじめ把握している人物から電話がかかってくれば、ワンタイムパスワード(OTP)や本人確認書類、あるいは支払いを求められても、信用できる相手だと錯覚してしまう恐れがあります。

車両の出品情報を詳しく把握しているディーラーから予期しない電話を受けた顧客は、そのデータの入手経路を尋ね、OTPや銀行情報を教えないようにし、不審なメッセージは保存した上で、CARS24およびサイバー犯罪当局に相談することが推奨されます。

警察は今後、3,100件の記録が実際に持ち出されたのか、誰がそれを転送したとされるのか、リード情報がさらに多くのディーラーに渡っていたのか、そして名指しされた個人たちが関与していたのかを明らかにする必要があります。調査が完了するまで、個人およびDirect-Cars社に対する疑惑は立証されていない状態にとどまります。

SOCを最新の状態に保ち、活動中のマルウェアやフィッシングの発生から24時間以内に把握しましょう。ANYRUNを試して早期検知でインシデントを未然に防ぎましょう。