恐喝グループShinyHuntersは、フロリダ州自動車局(DMV)が運用するオンラインプラットフォーム「DAVID」への侵入に成功し、州内の運転者に関する20万件以上の記録を窃取したと主張しています。
侵害の証拠として、この脅威アクターはジェフリー・エプスタイン氏のDMV記録のスクリーンショットを公開しました。住所や登録車両の情報が含まれています。
DAVIDは「Driver and Vehicle Information Database(運転者・車両情報データベース)」の略称で、フロリダ州高速道路安全・自動車局(FLHSMV)が運用し、法執行機関や関係当局が特定の運転者情報を照会する際に使用するプラットフォームです。
「Driver And Vehicle Information Database(DAVID)は、法執行機関や刑事司法当局にとって不可欠な運転者・自動車情報を即座に取得できる多機能データベースです」と、FLHSMVの公式サイトには説明が記載されています。
「DAVIDは死亡事故および重傷事故(FSBI)の主要な報告手段でもあります」
昨夜、ShinyHuntersはFLHSMVを自らのデータリークサイトに追加し、同局が交渉に応じない場合、窃取したとされるデータを公開すると警告しました。
侵害の証拠として、脅威アクターはDAVIDシステム内にあるジェフリー・エプスタイン氏の記録のスクリーンショットを公開しました。この記録には、住所、社会保障番号、生年月日、運転免許証ID、発行日と有効期限、登録車両などの情報が含まれています。
このシステムには他にも、運転免許証の取引履歴、住所、保険、以前の登録車両、駐車許可証などの情報を扱うタブが存在します。
ShinyHuntersはBleepingComputerに対し、パスワードリセット機能の不具合を悪用してシステム内の複数アカウントを侵害し、DAVIDへの侵入を果たしたと語りました。これらのアカウントは、DMV職員とFBI捜査官のものだったとされています。
脅威アクターによると、この不正アクセスを利用してIDごとに記録を走査し、各運転者に紐づくHTMLと画像をダウンロードしていったといいます。この手口により、9月3日に始まった侵害以降、20万件以上のデータ記録を窃取できたと主張しています。
脅威アクターはBleepingComputerに対し、その後データベースへのアクセス権を失ったこと、そしてアカウント侵害に利用されたパスワードリセットの不具合は現在修正中であることを明かしました。
BleepingComputerは昨日、この事案についてFLHSMVとFBIに問い合わせを行っており、回答があり次第、記事を更新する予定です。
ある情報筋によると、脅威アクターはソーシャルエンジニアリング攻撃を用いて、他州のDMVプラットフォームも標的にしているといいます。
他のDMVも標的にしているかとの質問に対し、ShinyHuntersはBleepingComputerに、今後数週間のうちに他の侵害についても発表する見込みだと答えました。
ShinyHuntersとは
ShinyHuntersは、オンラインWebアプリケーションやクラウドSaaS環境を標的としたデータ窃取攻撃で知られる恐喝グループです。
ShinyHuntersという名称は、2018年以降にデータ侵害を繰り返してきた数多くの脅威アクターと長らく結び付けられてきました。
この1年間で、ShinyHuntersの名を名乗る脅威アクターは、世界中の企業を標的にデータ窃取・恐喝攻撃を行う、最も活発なグループの一つとなっています。
当初はSalesforceをはじめとするクラウドSaaS環境に焦点を当てていましたが、この脅威アクターはその後、Google、Cisco、PornHub、そして大手オンラインデート企業のMatch Groupなど、数多くの企業の侵害事案とも関連付けられるようになりました。
この恐喝グループはサードパーティの統合企業を侵害する手口を常套手段としており、窃取した認証トークンを使って連携先のSaaS環境にアクセスし、顧客データを盗み出します。
最近では、脅威アクターはOkta、Microsoft、GoogleのシングルサインオンSSO)アカウントを標的としたボイスフィッシング(ビッシング)攻撃を展開しており、IT サポート担当者になりすまして従業員をだまし、フィッシングサイトに認証情報や多要素認証(MFA)コードを入力させています。
BleepingComputerが最初に報じたように、ShinyHuntersグループはMicrosoftアカウントの認証トークンを取得するため、デバイスコードを悪用したビッシング攻撃も採用しています。
認証情報や認証コードを窃取した後、脅威アクターはSSOアカウントを乗っ取り、Salesforce、Microsoft 365、Google Workspace、SAP、Slack、Adobe、Atlassian、Zendesk、Dropboxといった、連携先のエンタープライズサービスへの侵入を果たします。
この恐喝グループは、5月に発生したInstructure Canvasに対する大規模なデータ窃取攻撃の背後にも存在しており、この攻撃はプラットフォームに大規模な障害を引き起こしました。同社は最終的に、直近の侵害で窃取されたデータがネット上に流出するのを防ぐため、脅威アクターと「合意」に至ったことを明らかにしました。
これまで、ShinyHuntersの名は数多くの逮捕事案とも関連付けられてきました。その中には、Snowflakeデータ窃取攻撃に関与したとされる容疑者、PowerSchoolを侵害した人物、そしてハッキングフォーラム「Breached v2」の運営者などが含まれます。
しかし、こうした逮捕が相次いでいるにもかかわらず、ShinyHuntersの名を名乗る脅威アクターは、依然として世界中の企業にとって脅威であり続けています。
