- Bettermentの侵害は1,435,174人に影響、Have I Been Pwnedが確認
- 攻撃は従業員に対するソーシャルエンジニアリングに端を発し、第三者プラットフォームへのアクセスを通じてフィッシングメールが送信された
- CrowdStrikeの調査ではアカウントや認証情報の侵害は確認されず、露出したデータは連絡先情報と一部の個人情報に限定
Bettermentで最近発生したデータ侵害で、影響を受けた人数が正確に判明した――1,435,174人だ。この数字は、さまざまなサイバー攻撃で盗まれたメールアドレスを集約する企業「Have I Been Pwned?」によって確認された。
この投資プラットフォームは、2026年1月中旬に攻撃を受け、同社のインフラが顧客にフィッシングメールを送るために悪用されたことを明らかにした。
当時、同社は、従業員の1人がソーシャルエンジニアリングによってだまされ、同社が利用している第三者ソフトウェアプラットフォームのログイン認証情報を共有してしまったと述べていた。
メールアドレス、氏名、位置情報データ
「これは、当社の技術インフラを侵害したのではなく、なりすましと欺瞞によってアクセスを得たことを意味します」と通知には記されている。
悪用されたプラットフォーム名は明かさないまま、Bettermentは、攻撃者がそのアクセス権を使って「Bettermentから送られたように見える不正な暗号資産関連メッセージ」を送信したと述べた。顧客の「一部」が標的となり、Bettermentは明白なフィッシング攻撃について警告するため連絡を取ったという。
同社はこの攻撃で標的となった人数を明らかにしていないが、Have I Been Pwnedは盗まれたファイルを分析し、メールアドレス、氏名、地理的位置データを含む140万件の記録が含まれていると結論づけた。
Bettermentはまた、CrowdStrikeと行った調査の結果、この攻撃でユーザーアカウントは侵害されていないと結論づけたと述べた。
「サイバーセキュリティ企業CrowdStrikeの支援を受けた当社のフォレンジック調査により、1月9日のインシデントの一環として、顧客アカウント、パスワード、またはログイン情報が侵害された事実はないことが確認されました」と同社は述べた。
「当社の分析では引き続き、主なプライバシー上の影響は、氏名やメールアドレスを含む特定の顧客連絡先情報に関わるものであったことが示されています。一部のケースでは、連絡先情報が、住所、電話番号、生年月日などの他の顧客情報と組み合わされていました。」
Bettermentは顧客に対し、今後届く可能性のあるフィッシングやソーシャルエンジニアリング攻撃に警戒を続けるよう注意を促している。
