米国の光ファイバーブロードバンド企業Brightspeedは、恐喝グループ「Crimson Collective」が100万人超の個人向け顧客に属する機微なデータを盗み出したと主張している件について調査を進めている。主張によれば、広範な個人を特定できる情報（PII）に加え、アカウントおよび請求に関する詳細も含まれるという。
Brightspeedは米国最大級の光ファイバーブロードバンド提供事業者の一つで、20州にわたり顧客にサービスを提供している。
1月4日、Crimson CollectiveはTelegramチャンネルに次のメッセージを投稿した。
「BrightSpeedで働いている人を知っているなら、メールを急いで確認するよう伝えてくれ！
こちらの手元には100万人超の個人向けユーザーのPIIがあり、内容は以下のとおりだ：
- 氏名、メールアドレス、電話番号、請求先およびサービス提供先住所、アカウント状態、ネットワーク種別、同意フラグ、課金システム、サービスインスタンス、ネットワーク割り当て、サイトIDなどの完全なPIIを含む顧客／アカウントのマスターレコード。
- 住所ID、完全な郵便住所、緯度・経度座標、適格性ステータス（光／銅線／4G）、最大帯域幅、引き込み長、ワイヤセンター、マーケティングプロファイルコード、適格性フラグを含む住所適格性の応答。
- セッション／ユーザーIDで紐づくユーザーレベルのアカウント詳細。氏名、メール、電話、サービス住所、アカウント番号、ステータス、連絡設定、停止理由など、PIIと重複する情報を含む。
- アカウントごとの支払い履歴。支払いID、日付、金額、請求書番号、カード種別およびマスクされたカード番号（下4桁）、ゲートウェイ、ステータスを含む。一部のエントリは履歴がnullまたは空であることを示している。
- アカウントごとの支払い方法。既定の支払い方法ID、ゲートウェイ、マスクされたクレジットカード番号、有効期限、BIN、名義人の氏名と住所、ステータスフラグ（有効／却下）、作成／更新タイムスタンプを含む。
- 課金アカウントごとの予約／注文レコード。氏名、メール、電話、住所、注文番号、ステータス、予約時間枠、派遣および技術者情報、設置種別などの顧客PIIを含む。
サンプルは月曜の夜に落とす。まずは回答する時間を少し与える。（UTC+9、日本は年始がかなり楽しい、企業データを投下しながらな）」
約束されていたサンプルはその後公開され、次の各データベーステーブルからそれぞれ50件のエントリが含まれている。
別のTelegramメッセージで、同グループはBrightspeedの多数の顧客を切断したとも主張した。しかし、この主張はグループ自身の発信にのみ見られ、公的な報道では裏付けられていない。
ソーシャルメディア上には顧客からの苦情がいくつか出回っているものの、これらの問題がCrimson Collectiveの行動によって実際に引き起こされたものかどうかは不明のままだ。
BrightspeedはBleepingComputerに次のように述べた。
「当社はネットワークのセキュリティと、お客様および従業員の情報保護を重視しており、ネットワークの保護と脅威の監視を厳格に行っています。現在、サイバーセキュリティ事案に関する報告を調査中です。詳細が判明し次第、お客様、従業員、当局に情報を提供していきます。」
データ侵害後に自分を守る方法
データ侵害の影響を受けたと思われる場合は、次の手順で自分を守ることができる。
- 企業からの案内を確認する。 侵害はケースごとに異なるため、何が起きたのかを企業に確認し、提示される具体的な助言があればそれに従う。
- パスワードを変更する。 盗まれたパスワードは変更することで窃盗犯にとって無価値にできる。他で使い回していない強力なパスワードを選ぶ。さらに良いのは、パスワードマネージャーに生成させることだ。
- 二要素認証（2FA）を有効にする。 可能であれば、FIDO2準拠のハードウェアキー、ノートPC、またはスマートフォンを第2要素として使用する。2FAの一部はパスワードと同様に容易にフィッシングされ得るが、FIDO2デバイスに依存する2FAはフィッシングできない。
- なりすましに注意する。 窃盗犯は侵害されたプラットフォームを装って連絡してくる可能性がある。公式サイトで被害者に連絡しているか確認し、別の連絡手段を使って連絡してきた相手の身元を検証する。
- 焦らない。 フィッシング攻撃は、知っている人物やブランドになりすまし、未配達、アカウント停止、セキュリティ警告など、緊急対応が必要に見えるテーマを用いることが多い。
- カード情報を保存しないことを検討する。サイトにカード情報を記憶させるのは確かに便利だが、ウェブサイト上にその情報を保存しないことを強く推奨する。
- オンライン上で個人情報が違法に取引されているのが見つかった場合に警告し、その後の復旧にも役立つ身元監視を設定する。
