教科書大手McGraw Hillが、1350万件のレコード流出後、ランサムウェア集団のリストに浮上

教科書大手McGraw Hillは、Salesforceに関連する設定ミスが1350万件のレコードをインターネット上に流出させた後、ランサムウェア集団のリークサイトに掲載された。

Have I Been Pwnedによると、このブリーチは名前、電話番号、メールアドレス、および一部の物理アドレスを流出させた。McGraw Hillはソースを「限定的な」Salesforceホストのウェブページと説明したが、現在公開されているデータは100GBを超えており、1350万件のメールアドレスをカバーしている。

ほとんどのSalesforce侵害は、Salesforce自体の欠陥ではなく、盗まれた認証情報、悪用されたOAuthアプリ、または攻撃者に静かにデータを引き出すための正当なアクセスを与える過度な権限を持つ統合から生じている。

このブリーチは今週早くに、ShinyHunters集団がMcGraw Hillを他の被害者と一緒に、ダークウェブのリークサイトに追加したときに浮上した。Rockstar Gamesを含む。The Registerが目撃したリストには、このグループが「PIIデータを含む4000万件以上のSalesforceレコード」を持っていると述べられており、同社が4月14日の期限までに身代金を支払わなかったと非難している。

McGraw Hillは自社チャネルで沈黙を保ち、ウェブサイトでの事件の言及やThe Registerの質問への回答がない。しかし、他の報道機関への声明では、この活動は「Salesforce環境内の設定ミスに関連した、複数の組織に影響を与えた広範な問題の一部と思われる」と主張している。

出版社はまた、損害範囲を限定することに熱心であり、この侵害は「McGraw HillのSalesforceアカウント、顧客データベース、コースウェア、または内部システムへの不正アクセスを伴わなかった」と主張している。これは技術的には正確かもしれないが、現在オンラインで流通している可能性のある個人情報を持つ誰かにとっては、ほとんど慰めにはならないだろう。

SalesforceはThe Registerの質問に応じなかった。

ShinyHuntersは以前Salesforce関連の環境をターゲットにしており、コアシステムに直接侵入するのではなく、接続されたサービスの弱点を利用した2025年のキャンペーンなども含まれている。

K-12からプロフェッショナルトレーニングまでにわたるデジタル学習プラットフォームと評価で構築されたMcGraw Hillにとって、この皮肉は見逃しがたい。ここでの教訓は、少なくともこの混乱に巻き込まれた人々にとって、「限定的な」公開でさえ、一度オンラインに流出してしまえば、急速に増加する可能性があるということである。®