さらに2つの銀行が、Marquis Softwareへのランサムウェア攻撃で被害を受けた数千人に通知

米国の銀行2行が、人気の金融ソフトウェア企業に対する8月のランサムウェア攻撃の影響を受けたとして、顧客に警告するため名乗り出た。

Artisans’ BankとVeraBankは先週、最近のデータ侵害がMarquis Softwareへのサイバー攻撃に起因することをメイン州の規制当局に報告した。ソフトウェア企業は以前、8月14日ごろにランサムウェア攻撃を受け、同社の法人顧客数十社と、その下流の利用者数千人に影響が及んだと述べていた。 

VeraBankは被害者宛ての書簡で、Marquis Softwareが同行の「顧客コミュニケーションおよびデータ分析のベンダー」であると説明した。

「同社は、関連する必要な更新情報をお客様にお伝えするため、また、お客様のニーズに最も適した銀行商品やサービスを分析するために、お客様のデータへアクセスしていました」とテキサス州拠点の同銀行は述べた。「当行は、Marquisが同データを安全に確保し保護することに契約上同意した後にのみ、同社にお客様のデータへのアクセスを提供しました。」

合計で、37,318人の情報が盗まれたが、書簡ではどの情報が持ち出されたのかは明記されていない。 

デラウェア州拠点のArtisans’ Bankは、Marquis Softwareから10月にこの事案の通知を受け、サイバー攻撃の結果として32,344人分の氏名と社会保障番号が漏えいしたことを確認したと述べた。 

両行は、ハッカーが自行のシステムに侵入したことはなく、「Marquis Softwareが保有していた」情報のみが盗まれたと強調した。

VeraBankとArtisans’ Bankは、米国全土の数百の信用組合や銀行にデータ分析、コンプライアンス・ソリューション、デジタルマーケティングツールを提供するMarquis Softwareへの攻撃における下流の被害者として名乗り出た最新の金融機関である。

この事案に関する同社自身の通知で、Marquis Softwareは8月に攻撃を発見した後、この事案を連邦法執行機関に通報したと述べた。 

調査により、侵入は同社のSonicWallファイアウォール機器の脆弱性に起因することが判明した。同社によれば、盗まれた個人情報には氏名、住所、電話番号、社会保障番号、納税者番号、セキュリティコードやアクセスコードを伴わない金融口座情報、生年月日が含まれていた。

10月27日から11月25日にかけて、Marquis Softwareは少なくとも74の銀行、信用組合、金融機関に対し、同機関の情報がデータ侵害に関与していたと通知した。メイン州、サウスカロライナ州、ワシントン州、アイオワ州などの規制当局に自社の通知を提出したことに加え、複数の金融機関のために代理で、いくつかの金融機関を代表して侵害通知も提供した。

Marquis Softwareは、影響を受けた金融機関の数がその後増加したかどうか、また被害者総数が何人かについてのコメント要請に応じなかった。 

複数の州の侵害登録簿から被害者数を集計した結果として、複数の法律事務所およびサイバーセキュリティ研究者は、被害者数はおそらく788,000人から135万人の間だと述べた。 

サイバーセキュリティ企業Comparitechはまた、アイオワ州拠点のCommunity 1st Credit Unionが出した、現在は削除された侵害通知書簡を入手しており、その書簡ではMarquis Softwareが攻撃の背後にいるグループに身代金を支払ったと主張していた。 

同社は支払いに関するコメント要請に応じなかった。いかなるランサムウェア集団も、この攻撃について公に犯行声明を出していない。