Checkout.com、恐喝未遂後にデータ侵害を公表

グローバル決済サービスプロバイダーのCheckout.comは、著名なハッカーグループによる恐喝未遂の後、データ侵害が発生したことを公表しました。

Checkoutによると、この事件は2020年以降使用されていなかったレガシーのサードパーティ製クラウドファイルストレージシステムが関与しており、決済処理プラットフォームには影響はありませんでした。

「当時、このシステムは社内の業務文書や加盟店のオンボーディング資料のために使用されていました」と同社は述べています。

「この出来事は、脅威アクターが適切に廃止されていなかったこのサードパーティ製レガシーシステムにアクセスした際に発生しました。これは私たちのミスであり、全面的に責任を負います」とCheckoutは記しています。

プラットフォームによると、攻撃者は加盟店の資金やカード番号にはアクセスしていませんでした。

Checkoutは、攻撃の範囲を特定し、影響を受けた組織を特定するために調査を開始しました。また、この攻撃を法執行機関および関連当局に報告しています。

同社によれば、この攻撃は2020年に登場し、今年初めにScattered Spiderと提携した悪名高いShinyHunters恐喝グループによるものとされています。9月には、Scattered SpiderとShinyHuntersが共同で引退を発表しました。

10月には、Lapsus$、Scattered Spider、ShinyHuntersの派生と思われる新たなグループ「Scattered LAPSUS$ Hunters」が登場し、数十の組織に影響を与えたSalesforceキャンペーンの責任を主張しました。

このグループは、侵害されたSalesforceインスタンスから盗まれたとされる数百万件の記録を流出させ、またSalesforceへの恐喝も試みましたが、同社はハッカーの主張は過去のもの、もしくは裏付けのない事件に関するものだと述べています。

彼らのCheckoutへの恐喝も失敗に終わりました。「私たちは犯罪者に恐喝されません。身代金は支払いません」と同社は述べました。

「その代わりに、私たちはこの攻撃を業界全体のセキュリティへの投資に変えます。サイバー犯罪との戦いにおける研究を支援するため、カーネギーメロン大学とオックスフォード大学サイバーセキュリティセンターに身代金相当額を寄付します」とCheckoutは付け加えました。