ある脅威グループが、スターバックスに侵入し、独自のソースコードや店舗内の機器およびグローバル業務に関連するファームウェアなど、機密データ10GBを盗み出したと主張している。
このグループShadowByt3sは、侵入したと主張している。設定を誤ったAmazon S3バケットにアクセスし、身代金が支払われなければデータを流出させると脅迫している。
VECERTはこのインシデントについてXに投稿し、「各店舗にある重要な機器を動かすバイナリが含まれている」と述べた
スターバックスのインシデント疑惑の内実
この侵害が事実なら、企業データだけでなく、スターバックスのグローバル業務を支える基盤技術も露呈する可能性がある。
このインシデントは、設定を誤ったAmazon S3バケットsbux-assetsに起因するとみられる。ストレージの設定ミスは一般的なクラウドセキュリティ上の問題であり、過度に広範なアクセス設定によって、権限のないユーザーに機密データが意図せず公開される可能性がある。
脅威アクターによると、この設定ミスによって、運用技術とエンタープライズソフトウェアの双方にまたがる、広範な内部資産へのアクセスが可能になったという。
最も懸念される要素には、世界各地のスターバックス店舗に導入されている飲料ディスペンサー、Mastrena IIエスプレッソマシン、FreshBlends自動化システムで使用されるファームウェアが含まれる。
これらのファームウェアファイルは、モーターの動作、原料の配合比、ユーザーインターフェースなどの重要な機能を制御しているため、流出すれば機器の操作、リバースエンジニアリング、店舗業務の妨害につながる可能性がある。
ハードウェア関連の資産に加え、このデータセットにはスターバックスのグローバルインフラを管理するための社内ソフトウェアプラットフォームも含まれていると報じられている。
これには、地域をまたいだ機器の運用を統括する一元化されたNew Web UIのソースコードや、サプライチェーン物流に関連する在庫管理ポータルが含まれる。
さらに、JavaScriptバンドル、ソースマップ、ステージングディレクトリなどの開発者向けリソースから、APIエンドポイント、認証メカニズム、さらには機密性の高い認証情報が露呈する可能性があり、より広範なシステムアクセスのリスクが高まる。
本稿執筆時点で、この侵害は第三者によって確認されておらず、スターバックスも疑惑のインシデントについてコメントしていない。
しかし、脅威アクターはサンプルデータを共有し、非公開の経路を通じてより大規模なデータセットを配布していると主張しており、さらなる拡散が懸念される。
クラウドデータの露出リスクを低減する
組織は、クラウドデータの露出リスクを低減するため、体系的かつ多層的なアプローチを取るべきだ。
設定ミスはインシデントの一般的な原因だが、適切な制御、可視性、継続的な管理によって効果的に最小化できる。
- クラウドストレージ環境を監査し、パッチを適用してすべての資産を棚卸しし、設定ミスや露出したリソースが残っていないことを確認する。
- 最小権限を適用して厳格なアクセス制御を実施し、AWSの「パブリックアクセスをブロック」設定を有効にするとともに、すべての機密データに認証を要求する。
- 機密性の高い資産を分離・セグメント化し、ソースコードやファームウェアなどの重要データを、一般公開または共有された環境に保存しない。
- AWSネイティブツールを使ってクラウドアクティビティを継続的に監視するAWSネイティブツールであるCloudTrail、GuardDuty、Security Hubなどを利用し、異常なアクセスやデータの持ち出しを検知する。
- 導入するCSPMツールことで、クラウドの設定ミスを大規模に自動で特定、優先順位付け、修正する。
- 認証情報とデータの保護策を強化するため、データを暗号化し、定期的に鍵をローテーションし、コードリポジトリ内のハードコードされたシークレットを排除する。
- テストするインシデント対応計画とともに、攻撃シミュレーションツールを使用し、クラウドデータの露出や設定ミスを想定したシナリオに取り組む。
これらの対策を総合的に実施することで、組織はクラウドセキュリティのリスクに対するレジリエンスを高めながら、データ露出インシデントがもたらし得る被害範囲を抑えられる。
クラウドセキュリティの課題は解消されず
このインシデントをめぐる主張は未検証のままだが、組織がクラウド環境と機密性の高い運用データを保護する上で直面している、より広範かつ継続的な課題を浮き彫りにしている。
特に企業がクラウドサービスや相互接続されたシステムの利用を拡大する中、設定を誤ったストレージリソースは、攻撃者が侵入する一般的な入口であり続けている。
セキュリティチームにとって、この状況は、十分な可視性を維持し、一貫したアクセス制御を適用し、クラウド設定を定期的に見直す必要性を再認識させるものだ。
アクセスを継続的に検証し、暗黙の信頼への依存を減らすゼロトラストソリューション