ロンドンの不動産管理会社City Relayは、Metabase Cloudのインスタンスが侵害された結果、侵入者が財務データやパスワード、鍵の受け取りに使う暗証番号を盗んだ可能性があると顧客に警告しました。
自社を「ロンドンで最も信頼されている不動産管理会社」と謳うCity Relayは、The Regが確認したメールで、大家に対し「私たちが把握していなかったプラットフォームの脆弱性」の結果として、攻撃者がサードパーティ提供のクラウドに2度アクセスしたと伝えています。
顧客向けのメッセージには「個人データがプラットフォームから抽出されました」と記されていました。
このプラットフォーム上で流出した可能性のあるデータには、氏名、メールアドレスと物理的な住所、電話番号、財務情報、物件アクセス情報、アカウントのパスワードが含まれます。
City Relayによると、流出した財務データには銀行口座番号、ソートコード、IBAN、SWIFTコード、口座名義と住所が含まれていたということです。
攻撃者はさらに、物件の設備やアクセスに関する情報、具体的には保管されている鍵の所在地やそれを収めたロックボックスの暗証番号なども取得した可能性があります。
Huntressのセキュリティ運用担当シニアマネージャーであるDray Agha氏は、Metabaseは顧客のデータベースに接続する仕組みであるため、攻撃によって流出する情報の範囲は各顧客が付与したアクセス権限次第だと説明しています。
「Metabaseを一般的な分析用データベースに接続している企業であれば、露出するのは無害なユーザー指標だけで済むでしょう」と同氏は述べています。「一方、基幹の取引データベースに直接接続している企業は、極めて機微な財務記録や認証情報を露出させるリスクを負います」
Agha氏は、流出したパスワードや財務情報が読み取り可能な形式で保存されていたのであれば、それはデータ保護の取り組みが不十分だったことを示すものだと指摘しています。
「機微な財務情報は、データベースに保存する際に暗号化またはトークン化しておくべきです。この情報を読み取り可能な状態にしておくと、接続されたレポーティングツールが侵害された場合に甚大なリスクが生じます」
The Registerが把握している限り、City Relayはこのメールを現在の大家だけでなく、過去のサービス利用者にも送付しています。ある情報筋によると、City Relayは9月8日に侵入を把握し、9月14日に影響を受けた顧客に通知したとのことです。
「物件アクセスおよび鍵の保管に関する情報が含まれていた可能性があるため、私たちは直ちに予防措置として、該当するアクセスコードと鍵保管用の暗証番号を更新しました」とメールには記されています。
「この作業はすでに完了しています。これまで流出していた暗証番号は今後使用できません。また、今回のインシデントに起因する物件への不正アクセスが発生したという証拠は確認されていません」
物理的なセキュリティに対する直接的なリスクに加え、City Relayは顧客に対し、銀行口座の不審な取引がないか確認すること、フィッシングをはじめとする詐欺に注意すること、他のアカウントで使い回しているパスワードを変更することを呼びかけています。
同社は当社の取材に対し、流出したデータが悪用された証拠は見つかっていないと述べました。現在もサイバーセキュリティの専門家や「関係当局」とともに調査を続けており、攻撃の全容解明を進めているとしています。
City Relayのウェブサイトによれば、同社には物件ポートフォリオの管理を委託する「パートナー」である大家が数百人おり、ロンドンでは数千件の物件を管理している、あるいは過去に管理していたとのことです。
同社は、ロンドンと、同社が事業を展開するもう一つの拠点であるパリで、それぞれ何人の顧客が影響を受けたかは明らかにしていません。
The RegisterはCity Relayに詳細情報を求めています。
City Relayは、今回の攻撃で悪用された脆弱性を特定していません。Metabaseは8月6日、ゼロデイのSQLインジェクションの欠陥を公表し、修正が自動的に展開される前に顧客の3パーセント未満が侵害されたとしていますが、City Relayのインシデントがこの一連の攻撃キャンペーンの一部であったかどうかは確認されていません。
これまでに判明している被害者には、ノートPCメーカーのFrameworkやワークフロー自動化プラットフォームのn8nが含まれます。 ®
