Abrigoはシステム内で不審な活動を検知したため、10月30日にSageworksの融資プラットフォームを停止した。11月2日のステータス更新でAbrigoは、借り手向け機能を除き、プラットフォームが再び利用可能になったと発表した。
Sageworksは、米国の銀行や信用組合向けに融資と信用分析を支援している。今回の停止は、Sageworks Analyst、Sageworks API、そして借り手がオンライン融資サービスを利用するためのOnline Portal Nowに影響を及ぼした。Abrigoはサイバー攻撃やデータ侵害の有無を確認しておらず、影響を受けた金融機関の数も明らかになっていない。銀行は今、システムが機能していることを検証し、停止中に処理した申請を確認するとともに、顧客がいつ安全にプラットフォームの利用を再開できるかを確認する必要がある。
Abrigo、不規則な活動を調査する間Sageworksを停止
BleepingComputerは、Abrigoが10月30日に不規則な活動を検知し、米東部時間午前11時25分ごろにSageworksを無効化したと報じた。停止は週末を通じて続いた。
監視サービスIsDownが記録したAbrigoのステータス更新には、調査の経緯と、借り手向け機能を除いてプラットフォームが再び利用可能になった11月2日の発表が記されている。本稿で独自に確認できた最新の更新日は11月2日だった。
Corsica TechnologiesのCISO、Ross Filipek氏は、今回の停止から、調査中に運用を継続することはリスクが高すぎるとAbrigoが判断したことがうかがえると述べた。ただし、この判断から異常な活動の原因が判明したわけではない。
「侵害されたアカウントを無効にするのは一つの対応だ。顧客が依存するサービスを停止すれば、別のコストが生じる」とFilipek氏は述べた。
Abrigoは、攻撃者が同社のシステムや顧客データにアクセスしたかどうかを公表していない。サービスを停止したという判断を、侵害の証拠と取り違えてはならない。
融資プラットフォームが復旧しても借り手を待たせる可能性
Sageworksは、融資の組成、信用分析、ポートフォリオのリスク監視を支援する。Abrigoの開発者向けドキュメントには、金融機関がAPI認証情報を使って借り手を登録し、ログイントークンを取得し、オンラインポータルのセッションを開始する方法が記載されている。
こうした機能が利用できないままだと、借り手はオンラインで申請を完了できず、融資担当者は承認済みの代替チャネルを通じて提出状況を追跡しなければならない可能性がある。停止中に受け付けた申請も、システム復旧後に照合が必要になる場合がある。
Filipek氏は、融資プロセスの中断によって、停止期間を超えて処理の滞留が残る可能性があると警告した。同氏は金融機関に対し、財務データの完全性を検証し、安全な代替手段を利用するための明確な指示を顧客に提供するよう求めた。
Abrigoは2,400以上の金融機関にサービスを提供しているとしているが、この全社的な数字から、実際にどれだけの金融機関が混乱の影響を受けたかは分からない。
銀行に必要なのはサービス復旧通知だけではない
通常の処理に戻る前に、銀行のセキュリティ、融資、ベンダー管理の各チームは、自らの業務中断から復旧する能力を評価すべきだ。まずは次の3点を確認する。
- 借り手の手続き全体をテストする。ポータルへのアクセス、申請の送信、受領確認を検証する。保留中のリクエストを手作業で収集したフォームと照合し、申請者に安全に利用できるチャネルを伝える。
- 連携と記録を確認する。APIログ、アクセス範囲、取引履歴を確認する。AbrigoのAPIガイダンスには、金融機関がクライアント認証情報を管理する方法が説明されている。認証情報の窃取は確認されていないため、予防措置としてのローテーションを行う場合はベンダーと調整する。
- 復旧・報告計画を確認する。Abrigoに、完全に復旧したサービス、データ完全性の確認が完了しているか、金融機関がどのように更新情報を受け取るのかを問い合わせる。連邦銀行当局のガイダンスは、重要なサービス提供者の監督と事業継続計画の重要性を強調している。
「連邦政府のインシデント通知規則」では、対象となる銀行組織は、通知対象となるインシデントが発生したと判断した後、可能な限り速やかに、遅くとも36時間以内に主要な連邦規制当局へ通知しなければならない。対象となるサービス提供者は、コンピューターセキュリティインシデントによって、対象サービスが4時間以上にわたり重大な混乱または低下を受けた、もしくは受ける可能性が合理的に高いと判断した後、可能な限り速やかに影響を受けた銀行顧客に通知しなければならない。今回、これらの基準に該当したかどうかは明らかになっていない。
「サービスを復旧させなければならないというプレッシャーが、プラットフォームの完全性を確保する必要性を上回ってはならない」とFilipek氏は述べた。
銀行は、融資申請を受け付けたかどうか、再提出が必要かどうか、オンライン処理を再び安全に利用できるのはいつかを申請者に説明できなければならない。スタッフがこれらの質問に答えられるようになるまで、Abrigoの復旧通知は復旧対応の一部にすぎない。
関連記事：Group-IBの研究者は、ハッカーが無料で盗んだ銀行ログイン情報をテストするためにオープンバンキングサービスを悪用したことを明らかにし、金融プラットフォームの認証情報悪用とセキュリティーへの懸念を浮き彫りにした。