流出したメールアドレスのうち92,273件では、配信に関する情報も併せて流出しました。ただし、具体的な内容は現在も調査中です。今回の問題は、SEGAのアカウント認証基盤ではなく、外部委託していたメール配信プラットフォーム「Arara Message」で発生しました。
このサードパーティサービスの侵害は、委託先を経由することで、顧客組織の主要システムに直接侵入しなくても顧客情報にアクセスされ得ることを示しています。
Araraの公表した通知によると、同社は10月28日、Webサーバーのセキュリティ上の欠陥を突いた不正アクセスを検知しました。同社は当初、影響を受けたサーバーを隔離しましたが、その後、情報が抜き取られた期間についての説明を訂正しました。
11月6日付の更新情報によると、データの外部流出は、影響を受けた各サーバーで10月28日から、サービスを停止した10月31日まで続いていました。時期はサーバーごとに異なります。
Araraは、公表した通知の中で、特定のCVE、攻撃コード、マルウェアファミリー、攻撃者を明らかにしていません。この訂正により、一部の顧客に伝えられていた影響範囲も変わりました。
SEGAによる確認は10月29日に始まりました。同社はセキュリティ点検の過程でAraraに問い合わせ、情報漏えいは確認していないとの回答を得ていました。
この経緯は、サプライチェーンセキュリティの評価がいかに重要かを物語っています。初期段階の封じ込めに関する説明と、盗まれた記録や影響を受けた下流の顧客について検証された事実とを、区別して評価する必要があるためです。
SEGAによると、流出した情報には、顧客の氏名、生年月日、性別、住所、電話番号、クレジットカード情報、ログインパスワードは含まれていません。
SEGAアカウントに登録されたメールアドレスは、別の配信システムを使用しているため、今回の件の対象外です。ただし、これらの除外は確認済みの流出範囲を示すにとどまります。関連するすべての環境で同等のフォレンジック調査が行われたことの証明ではありません。
SEGAは、攻撃者が流出したアドレスと、見覚えのある製品名を悪用し、同社、SEGA Fave、あるいはAraraになりすます恐れがあると警告しています。
こうしたメールは、受信者を認証情報の窃取ページや悪意のある添付ファイルに誘導する可能性があります。ただし、SEGAは通知の発表時点で、悪用は確認されていないと報告しています。
SEGAは顧客に対し、身に覚えのないリンクや添付ファイルを開かないこと、不審なメールに返信しないこと、パスワードや支払い情報をメールで伝えないことを呼びかけています。
ANY.RUNを導入する16,000以上のSOCチームに加わり、脅威調査を効率化して手作業を減らしませんか。チームでの利用を検討する
翻訳元: https://cyberpress.org/sega-data-breach/
