Navia Benefit Solutionsは、脆弱なAPIエンドポイントを通じたシステムへの不正アクセスに続いて、約270万人の個人に影響を与える大規模なデータ侵害を確認しました。
この事件は、広範囲の機密個人情報と医療関連情報を露出させ、フィッシングおよびアイデンティティベースの攻撃における潜在的な悪用についての懸念が生じています。
攻撃者はシステムデータを改ざんしたりランサムウェアをデプロイしなかったが、不正アクセスの受動的性質により、より長期間検出されないままでした。
Naviaは、攻撃者は銀行口座番号やクレジットカード情報などの直接的な財務データにアクセスしなかったこと、また医療請求データも関与していないことを述べました。しかし、侵害されたデータセットには、依然として非常に機密性の高い個人識別情報（PII）と保護された医療関連データが含まれています。
その後、組織はAPIの脆弱性を修正し、参加者登録を一時的に無効にしてより強力な認証制御を実装しました。
異常なアクセスパターンを検出するための強化された監視メカニズムも展開されています。
この侵害は、Naviaが管理する福利厚生プログラムの現在および過去の参加者に影響を与え、記録は2018年に遡ります。
米国全体で10,000以上の雇用主にサービスを提供する第三者管理者として、Naviaは従業員福利厚生プログラムに関連する広範なデータセットを維持しています。
財務認証情報にはアクセスされませんでしたが、露出した識別子の広がりはアイデンティティ窃盗、アカウント乗っ取り試行、および高度にターゲットを絞ったソーシャルエンジニアリングキャンペーンのリスクを大幅に増加させます。
Naviaは、システム内の異常なアクティビティを検出したときに、直ちに内部調査を開始したと報告しました。
同社は、侵害の範囲を評価するための外部フォレンジック専門家を雇用し、その後米国保健福祉省（HHS）を含む連邦執行機関および規制当局に通知しました。
影響を受けた雇用主とプラン参加者は、この事件について正式に通知されています。侵害への対応として、Naviaはkrollを通じて12ヶ月間の無料のアイデンティティ保護およびクレジット監視サービスを提供しています。
セキュリティの観点から、同社は、より厳密な多要素認証（MFA）の実施とAPIアクセスの強化を含む追加のセーフガードを実装しました。
新しい参加者登録の一時的な停止も、封じ込め努力の一部でした。
セキュリティ専門家は、侵害されたデータの性質が、影響を受けた個人をターゲットを絞ったフィッシングキャンペーンに特に脆弱にすることを警告しています。
攻撃者は、詳細な福利厚生プラン情報と個人識別情報を利用して、説得力のあるソーシャルエンジニアリングメッセージを作成し、雇用主、保険会社、または福利厚生管理者になりすまします。
社会保障番号と過去の登録データが含まれていることを考えると、リスクは直接的な詐欺試行を超えて長期的なアイデンティティ搾取に拡大します。
ユーザーは、財務口座とクレジットレポートを密接に監視し、可能な限り詐欺警告を有効にし、機密情報を要求する迷惑通信に注意するようアドバイスされています。
この事件は、現代のエンタープライズ環境におけるAPIの脆弱性がもたらすリスクの増加を強調しており、特に集約された個人および医療関連データを処理するセクターにおいてです。
翻訳元: https://cyberpress.org/navia-confirms-data-breach-exposing-sensitive-data-of-2-7-million-users/