セキュリティ
人材業界向けソフト大手がCrowdStrikeに支援を要請。顧客はログイン障害に直面し、データ窃取の有無も不明のままです
採用管理ソフトウェアを手がけるBullhornが、サイバー攻撃の被害を受けました。同社はプラットフォームを停止して調査を進めています。
米国に本社を置く同社は、世界で1万社を超える顧客にサービスを提供しています。同社によると、システムは英国、米国、オーストラリアで復旧しました。ただ、早く業務に戻りたい顧客にとっては残念なことに、オンラインに戻ったからといって、正常に動作しているとは限りません。
Bullhornは火曜日に 公開した最新のステータス更新で、一部のユーザーがシングルサインオン（SSO）、パスワードのリセット、カスタマイズ機能で依然として問題を抱えていることを認めました。複数の製品でも、パフォーマンスの低下が続いているといいます。
異変が始まったのは10月16日（金）でした。この日、BullhornはIndeedへの求人掲載で問題が起きていると報告しました。翌朝にはプラットフォームが完全に停止しました。同社はその日のうちに、単なる技術的な不具合ではなく、より深刻な事態に対処していることを明らかにしました。
同社は「Bullhornプラットフォームでサイバーインシデントを検知しました。さらに調査を進める間、不正な活動を封じ込めるため、システムへのアクセスを一時的に無効にしています」と説明しました。攻撃の調査とサービス復旧を支援するため、CrowdStrikeのサイバーセキュリティ専門家にも協力を要請したとしています。
Bullhornを利用する人材紹介会社は、この障害で候補者の記録、求人への応募情報、入社の手配情報にアクセスできなくなりました。給与支払いに使うシステムが使えなくなったケースもあります。
サービスは月曜日から戻り始めましたが、復旧は決して順調ではありません。火曜日の朝の時点で、Bullhornのステータスページには、自動化ツール、Talent Platform、Onboarding365、Time & Expenseなど、複数の製品でパフォーマンス低下が続いていると記載されていました。
Bullhornは顧客のアカウント復旧を進めていますが、おそらくより重要な疑問にはまだ答えていません。攻撃者が何かを盗んだのかどうかです。同社は 顧客向けFAQで、フォレンジック調査が続いており、攻撃者が顧客データを外部に持ち出したかどうかはまだ判明していないと述べています。
Bullhornは、調査で情報が漏えいした可能性が判明した場合、影響を受けた顧客に連絡するとしています。混乱に乗じる便乗犯への注意も呼びかけました。
同社は火曜日に「脅威アクターが今回のインシデントを口実に、Bullhornの担当者を装ってメール、SMS、電話で認証情報や機密情報を求めてくるおそれがあります」と警告しました。そのうえで、同社の従業員が顧客にパスワード、多要素認証コード、認証トークンの開示を求めることは決してないと強調しています。
同社は、SSOを使わずにログインするユーザーにパスワードのリセットを義務づけました。APIで連携している顧客には、認証情報のローテーションを指示しています。
侵入の原因は分かっていません。Bullhornは攻撃者を公表しておらず、ランサムウェアが関与したかどうかも確認していません。同社は、記事公開時点でThe Registerの質問に回答していません。
障害は収束に向かっているのかもしれません。しかし、攻撃者が実際に何をしたのかを突き止める調査は、まだ終わりには程遠い状況です。®
