ルノー、サプライチェーンのデータ侵害を顧客に通知

自動車メーカーのルノーは、脅威アクターによって顧客の個人データが侵害された可能性があるとして、人数を特定しない数の顧客に通知せざるを得なくなった。

セキュリティ研究者のトロイ・ハントがX（旧Twitter）に投稿した通知によると、このインシデントではサプライヤーが標的となったという。

「当社のサードパーティプロバイダーの一社に対するサイバー攻撃により、ルノーUKの一部顧客の個人データが同社のシステムの一つから持ち出されたことについて、誠に申し訳なくお知らせいたします」と記されている。

「サードパーティプロバイダーは、お客様のデータが含まれていたことを確認しました。」

金融データやパスワードは持ち出されていないようだが、脅威アクターは以下の情報の侵害に成功した：

• 氏名（名・姓）
• 性別
• 電話番号
• メールアドレスおよび住所
• 車両識別番号および登録番号

その結果、影響を受けた顧客は、盗まれたデータを用いて詐欺に正当性を持たせるフィッシング攻撃の標的となる可能性がある。

侵害通知は続けて、「特にメールや電話による、個人情報を求める不審な依頼には注意してください」としている。

「オンラインや電話でパスワードを共有してはいけません。ルノーUKがこの情報をお尋ねすることは決してありません。」

運輸セクターのデータ侵害についてさらに読む：サイバー攻撃後、JLRが段階的に事業再開を開始

NCC Groupで運輸分野のプラクティスリードを務めるゲイリー・キャノン氏は、この攻撃は同分野で相次ぐ侵害の文脈で捉えるべきであり、JLR、Collins Aerospace、LNERに影響が及んでいると述べた。

同氏は「これらの事例は、サプライチェーンのセキュリティがまさにビジネス上の優先事項であることを浮き彫りにしています。攻撃が発生した場合に広範な財務的・運用上の損害を防ぐには、より高い可視性、能動的な検知能力、そして対応計画が不可欠です」と付け加えた。

「企業によるベンダー監督は極めて重要です。組織の安全性は、サプライチェーンにおける最も弱いリンクと同程度にしかならないのです。」 

ルノーは、このインシデントで自社のシステムが侵害されたわけではない点を強調することに腐心した。

通知には「サードパーティは、これは単発のインシデントであり、すでに封じ込められて排除されたことを確認しました」と記されている。

「当社は、適切なすべての措置が講じられるよう、同社と緊密に連携しています。関係するすべての当局へ通知しました。」

一部の個人はソーシャルメディアで、ルノーの低価格ブランドであるダチアの顧客もこの侵害の影響を受けたと述べた。