Abrigo、Sageworksを停止：銀行が行うべき復旧チェック

Abrigoは、自社システム内で不審なアクティビティを検知したとして、10月30日に融資プラットフォーム「Sageworks」を停止しました。11月2日のステータス更新で、Abrigoは借り手向けの機能を除いてプラットフォームが再び利用可能になったと発表しています。

Sageworksは、米国の銀行や信用組合の融資業務と信用分析を支えるプラットフォームです。今回の停止では、Sageworks Analyst、Sageworks API、そして借り手がオンラインの融資サービスを利用するためのOnline Portal Nowが影響を受けました。Abrigoはサイバー攻撃やデータ侵害を確認しておらず、影響を受けた金融機関の数も不明です。銀行は今、システムが正常に動作しているかを確認し、停止中に処理した申し込みを見直し、顧客が安全にプラットフォームの利用を再開できる時期を確かめる必要があります。

Abrigoは異常なアクティビティの調査中にSageworksを停止

BleepingComputerによると、Abrigoは10月30日に異常なアクティビティを検知し、米国東部時間の午前11時25分ごろにSageworksを無効化しました。停止は週末まで続きました。

監視サービスIsDownが記録したAbrigoのステータス更新には、調査の経過と、借り手向けの機能を除いてプラットフォームが再び利用可能になったとする11月2日の発表が残されています。本記事の作成にあたり独自に確認できた最新の更新は、11月2日付のものです。

Corsica TechnologiesのCISOであるRoss Filipek氏は、今回の停止は、調査中にサービスを継続するのは危険が大きすぎるとAbrigoが判断したことを示唆していると指摘します。ただし、この判断だけでは、不審なアクティビティの原因までは特定できないとしています。

「侵害されたアカウントを無効化することと、顧客が頼りにしているサービスを止めることとでは、負うコストが異なります」とFilipek氏は述べています。

攻撃者がAbrigoのシステムや顧客データにアクセスしたかどうかについて、同社は公式に明らかにしていません。サービスを停止したという判断を、侵害の証拠と取り違えてはなりません。

融資プラットフォームが復旧しても、借り手は待たされる可能性

Sageworksは、融資の組成、信用分析、ポートフォリオのリスク監視を支援します。Abrigoの開発者向けドキュメントには、金融機関がAPI認証情報を使って借り手を登録し、ログイントークンを取得して、オンラインポータルのセッションを開始する方法が説明されています。

これらの機能が使えないままだと、借り手はオンラインで申し込みを完了できない可能性があります。その間、融資担当者は承認された代替チャネルを通じて申請を追跡しなければなりません。停止中に受け付けた申し込みは、システムの復旧後に突き合わせが必要になることもあります。

Filipek氏は、融資プロセスが中断されると、停止が終わった後も未処理案件が積み上がる恐れがあると警告しています。同氏は、金融機関に対して金融データの完全性を確認し、安全な代替手段について顧客に明確な案内を行うよう促しています。

Abrigoは2,400以上の金融機関にサービスを提供しているとしていますが、この数字は同社全体のものであり、実際に影響を受けた機関の数を示すものではありません。

銀行に必要なのは、サービス復旧の通知だけではない

通常の処理に戻る前に、銀行のセキュリティ、融資、ベンダー管理の各チームは、銀行のセキュリティとして、業務の中断から回復する能力を評価すべきです。まず、次の3点を確認してください。

• 借り手の一連の流れをテストする。ポータルへのアクセス、申し込みの送信、受領確認を検証します。保留中の申請を手作業で集めた書類と突き合わせ、安全に使えるチャネルを申込者に伝えます。
• 連携とレコードを見直す。APIログ、アクセススコープ、取引履歴を確認します。AbrigoのAPIガイダンスには、金融機関がクライアント認証情報をどのように管理するかが説明されています。認証情報の窃取は確認されていないため、予防的なローテーションを行う場合はベンダーと調整してください。
• 復旧と報告の計画を確認する。完全に復旧したサービスはどれか、データ完全性のチェックは完了したか、金融機関はどのように最新情報を受け取るのかを、Abrigoに問い合わせます。連邦の銀行向けガイダンスは、重要なサービスプロバイダーの監督と事業継続計画を重視しています。

連邦のインシデント通知規則では、対象となる銀行組織は、通知対象のインシデントが発生したと判断してから36時間以内を期限として、できる限り早く主要な連邦規制当局に通知しなければなりません。対象サービスプロバイダーも、コンピュータセキュリティインシデントによって対象サービスが4時間以上にわたり著しく中断・劣化した、またはその可能性が高いと判断した場合、影響を受ける銀行顧客にできる限り早く通知する必要があります。今回のケースがこれらの基準に該当するかどうかは、確認されていません。

「サービスを復旧させようとする圧力があっても、プラットフォームの完全性の確保より優先されるべきではありません」とFilipek氏は述べています。

銀行は、融資の申し込みを受け付けたかどうか、再提出が必要かどうか、オンライン処理がいつ安全に使えるようになるのかを、申込者に説明できなければなりません。職員がこれらの質問に答えられるようになるまで、Abrigoの復旧通知は復旧作業の一部にすぎません。

関連記事：Group-IBの研究者が、ハッカーが オープンバンキングのサービスを悪用し、盗んだ銀行ログイン情報を無料で試していた手口を明らかにしました。認証情報の悪用と金融プラットフォームのセキュリティに対する懸念が高まっています。