日本のメール配信サービスがサイバー攻撃を受け、約7700万件のメールアドレスが流出した可能性があります。攻撃者は侵害したプラットフォームを悪用し、不審なメールを数百万通も配信したとされています。
Araraの親会社であるPaycloud Holdingsは11月2日にこのインシデントを公表しました。同社の「Arara Message」サービスを支えるインフラに不正アクセスがあり、97台のサーバーと約380社の顧客企業が影響を受けた可能性があるとしています。
攻撃者は10月28日から30日にかけて、最大713万通の不審なメールも送信したと報じられています。メールはクレジットカード会社をかたり、受信者をだまそうとするものでした。
Paycloudは、7700万という数字は利用者の人数ではなくメールアドレスの件数だと強調しています。1人が複数のアドレスを持つ場合もあります。また同社は、実際にどの程度の情報が持ち出されたのか、引き続き調査を進めています。
このインシデントは、今回の公表内容にとどまりません。先に報告された共有環境への侵害では、61社が影響を受け、3,386,187件のメールアドレスが流出しました。さらに5社では、追加の個人情報を含む最大411,827件の顧客レコードが抜き取られました。
サービスを悪用してフィッシングメールも送信
攻撃者の目的は情報の窃取だけではありませんでした。Arara Messageを悪用して、10月28日から30日にかけて最大713万通の不審なメールを配信していたのです。
これらのメールはクレジットカード会社になりすまし、送信元アドレスは[email protected]でした。件名には、口座の利用内容や請求明細の確認を求める文言が使われていました。
Araraは、影響を受けた環境からの通信を遮断し、侵害された認証情報を無効化しました。10月30日以降は、新たな不審メールの送信がないことも確認しています。
同社は10月31日、Arara Messageの全サービスを停止しました。再開日は発表されていません。
今回のインシデントは、企業がサードパーティのメールサービスを利用することのリスクを浮き彫りにしました。企業は自社の顧客データベースやセキュリティ対策を管理できても、顧客への大規模な連絡は外部のプラットフォームに頼ることが少なくありません。
こうした依存関係は、リスクの集中を招きます。1社のサービス事業者への侵入が成功すれば、本来は無関係な数百社の情報が流出しかねないからです。
企業にとっては、通知義務への対応だけでは済まない可能性があります。盗まれたメールアドレスに氏名、電話番号、会員情報が組み合わされると、攻撃者はフィッシングキャンペーンをより巧妙に仕立てられるようになります。
Araraは、インシデントの説明も修正しました。侵入にはWebサーバーの脆弱性に加え、システム環境の不備も関係していたといいます。脆弱なコンポーネントを1つ修正するだけでは、プラットフォームへの信頼を回復するには不十分かもしれません。
共有型の通信プラットフォームを利用する企業にとって、今回の件は重要な教訓となります。ベンダーがどのように顧客情報を保護し、アクセスを管理し、侵害時に対応するのかを把握しておくことが欠かせません。
影響を受けたユーザーが警戒すべき点
Arara Messageを利用する企業からマーケティングメールや会員向けのお知らせなどを受け取っている人は、身に覚えのないメールや電話に注意してください。フィッシングキャンペーンが確認されているため、特に重要です。攻撃者は、正規の企業に対する親近感を利用して、不正な要求を本物らしく見せかける可能性があります。
ユーザーは、心当たりのない支払いやアカウント確認のリンクをクリックしないでください。パスワードを教えたり、一方的にかかってきた電話で個人情報を伝えたりするのも避けるべきです。連絡する場合は、自分で確認した公式サイトやカスタマーサポートの窓口を利用してください。
Arara Messageを利用していた企業にも、早急な対応が求められます。自社の顧客レコードが影響を受けたかどうかを確認し、流出の可能性を評価したうえで、必要に応じて顧客に注意を促さなければなりません。Araraは、サービス再開前に、顧客企業へ管理者パスワードやAPIキーなどの認証情報のリセットを求める方針です。
同社は個人情報保護委員会など日本の当局に報告し、警察にも被害を届け出ました。財務面への影響は現在精査中です。
サードパーティの通信プラットフォームに頼る企業にとって、Araraの事例は、1つの事業者でセキュリティが破られると、顧客情報の流出や重要サービスの中断、数百組織にまたがるフィッシングリスクにつながることを示しています。
その他のサイバーセキュリティニュースとして、 GoogleがXCPEボットネットを無力化しました。このボットネットは130万台以上のAndroid端末を侵害していました。Googleは、メーカーのVideostrong Technologyがファームウェアレベルのバックドアを仕込み、犯罪者が端末を乗っ取って、レジデンシャルプロキシサービス、広告詐欺、マルウェア配布に悪用できる状態にしていたと主張しています。
