Alationはシステム内部で不正な活動があったことを確認し、先に発生したサービス障害を、はるかに重大なセキュリティ上の問題へと変えた。
同社は木曜日、システムの1つで不正な活動を発見し、調査を開始したと発表した。攻撃者を特定しておらず、どのように侵入されたのか、情報が盗まれたのかどうかも明らかにしていない。
「Alationは最近、同社システムの1つで不正な活動を伴う限定的なインシデントを特定した」TechCrunchへの声明で同社は述べた。「何が起きたのかについて徹底的な調査を行っており、適切なタイミングで追加情報を提供します」
Alationのソフトウェアを使うと、企業は平易な言葉でクエリを入力して社内のファイルやデータを検索できる。同社はさらにAIツールを活用して雑然とした非構造化データを利用可能な情報に変換する取り組みを強化している。世界で500社を超える企業がこのプラットフォームを利用しており、Fortune 1000企業のおよそ半数も含まれる。
Alationは調査を続ける中で、これまでのところインシデントに関する詳細をほとんど共有していない。攻撃者がどのように侵入したのか、侵害の原因は何だったのか、影響を受けた可能性のある顧客数も明らかにしていない。顧客に直接通知したのか、対応として具体的な措置を取るよう助言したのかも不明だ。
脅威アクターやランサムウェアグループが犯行声明を公に出した形跡はない。Alationのインフラの大部分はAmazon Web Services上で稼働しているが、現時点でAWS自体が侵害されたことを示す兆候はなく、実際にデータが盗まれたとの確認もない。
今回の発表は、Alationが火曜日に報告したインシデントに続くものだ。このインシデントにより一部の顧客で「可用性の低下」が発生した。同社は障害が1時間以内に解消したと説明しているが、サービス上の問題がサイバー攻撃に関連していたかどうかは公に確認していない。Techzineは不正な活動は8月18日ごろに発生したとみられると報じた。
サプライチェーン全体で高まる被害リスク
Alationによる開示は、膨大な企業データを保有する企業にとって厳しい状況が続く中で行われた。
今月初めには複数の企業が、大手海運会社Ceva Logisticsでの侵害に関連したデータ窃取を報告した。また、ここ数週間、ハッカーが金融企業やプライベートエクイティグループを探っていると伝えられている。大量のデータを扱うプラットフォームが標的として狙われやすくなっているのは、必ずしも侵入しやすいからではなく、1回の侵入に成功するだけで、下流にある数百社の顧客に属する情報を一度に露出させられるためだ。
これとは別に、「TheHatman」というハンドルネームを使うサイバー犯罪者が、地下フォーラム上で360万件の従業員名簿レコードを広告していた。McDonald’s、Vodafone、Tata Consultancy ServicesなどのMicrosoft Entra IDテナントから抽出したものだとされており、eSecurity Planetが調査した。
脅威インテリジェンス企業Hudson Rockによると、このデータは中核プラットフォームの脆弱性ではなく、ブラウザーの認証情報を収集した情報窃取マルウェアに由来する可能性が高い。
Alationの顧客が今後注視すべきこと
Alationを利用するセキュリティチームにとって最大の問題は、依然として不明な点が多いことだ。同社は、顧客データや認証情報、接続されたシステムにアクセスされたかどうかを明らかにしておらず、顧客がパスワードをリセットしたり、連携を確認したり、その他の防御措置を講じたりする必要があるかどうかも説明していない。
Alationが詳細を明らかにするまで、組織は顧客への直接通知、同社のインシデント対応ガイダンスの変更、盗まれた認証情報やデータが流通している兆候を注視すべきだ。調査によってより広範な影響が明らかになった場合に備え、セキュリティチームは最近のAlation関連の認証アクティビティーと関連アカウントを確認し、基準値を把握しておくのもよいだろう。
今回のインシデントは、企業データを一元化するよう設計されたプラットフォームが、特に価値の高い標的になり得ることも改めて示している。侵害が限定的に見える場合でも、セキュリティ責任者は、ベンダーがどのデータにアクセスできるのか、自社環境にどの程度深く統合されているのか、その信頼関係が損なわれた場合にどれだけ迅速に対応できるのかを把握する必要がある。
こちらも読む：驚異的な速さで拡大する別の脅威について、次の記事でMedusaランサムウェアが500人を超える被害者を出したことを、攻撃者が新たに公表された脆弱性を24時間以内に悪用する中で読み解いてほしい。