日本のメール配信サービスへのサイバー攻撃により、約7,700万件のメールアドレスが流出した可能性があるほか、攻撃者は侵害したプラットフォームを使って数百万通の不審なメッセージを配信したとされる。
Araraの親会社であるPaycloud Holdingsは11月2日、Arara Messageサービスを支えるインフラに不正アクセスがあり、97台のサーバーと約380社の顧客企業に影響した可能性があると発表した。
攻撃者は10月28日から30日にかけて、クレジットカード会社になりすまし、受信者をだまそうとする不審なメールを最大713万通送信したと報じられている。
Paycloudは、7,700万という数字は個々のユーザー数ではなく、メールアドレスの件数を示すものだと強調した。1人が複数のアドレスを持っている場合もあり、実際にどの程度の情報が持ち出されたのか、同社は引き続き調査している。
今回の発表で明らかになった範囲は、これだけにとどまらない。共有環境に関わる以前に報告された情報漏えいでは、61社に影響が及び、3,386,187件のメールアドレスが流出した。さらに5社では、追加の個人情報を含む顧客記録が最大411,827件持ち出された。
攻撃者はこのサービスをフィッシングメールの送信にも利用した
攻撃者の活動は情報の窃取にとどまらなかった。さらにArara Messageを悪用し、10月28日から30日にかけて不審なメールを最大713万通配信した。
メッセージはクレジットカード会社になりすましたもので、送信元アドレスnews@arara.comから送られていた。件名には、アカウントの利用状況や請求明細の確認を受信者に求める内容が含まれていた。
Araraは影響を受けた環境からの通信を遮断し、侵害された認証情報を無効化した。また、10月30日以降、新たな不審メールが送信されていないことを確認した。
同社は10月31日、Arara Messageサービス全体を停止した。再開時期は発表していない。
共有メールインフラがもたらす、より広範なセキュリティ問題
今回の incidentは、企業がサードパーティーのメールサービスをどのように利用しているかに伴うリスクを浮き彫りにした。企業は顧客データベースやセキュリティー対策を自社で管理していても、大規模に顧客と連絡を取る際には外部プラットフォームに依存することが多い。
この依存関係は、リスクの集中を招く。1つのサービスプロバイダーへの侵入が成功すれば、互いに関係のない数百社の情報が一挙に流出する可能性がある。
組織にとって、影響は通知義務にとどまらない可能性がある。氏名、電話番号、会員情報と結び付いた盗難メールアドレスは、攻撃者にとって、より説得力のあるフィッシングキャンペーンに利用する材料となる。
Araraは今回のインシデントに関する説明も改め、侵入はウェブサーバーの脆弱性だけでなく、システム環境の問題も絡んでいたと説明した。これは、単一の脆弱なコンポーネントを修正するだけでは、プラットフォームへの信頼を回復するのに十分でない可能性を示している。
共有コミュニケーションプラットフォームを利用する企業にとって、今回のインシデントは、ベンダーが顧客情報をどのように保護し、アクセスを管理し、システムが侵害された際にどう対応するのかを把握する重要性を浮き彫りにしている。
影響を受けたユーザーが注意すべきこと
Arara Messageを利用する企業からマーケティングメールや会員向けのお知らせなどを受け取っている人は、予期しないメッセージや電話に注意すべきだ。今回、フィッシングキャンペーンが確認されているため、特に警戒が必要になる。攻撃者は正規の企業に対する親しみを悪用し、不正な要求を本物らしく見せかける可能性がある。
ユーザーは、予期しない支払いやアカウント確認のリンクをクリックしたり、パスワードを共有したり、身に覚えのない電話で個人情報を伝えたりしてはならない。代わりに、独自に確認した企業のウェブサイトやカスタマーサポート窓口から連絡すべきだ。
Arara Messageを利用する企業にも、直ちに取り組むべき作業がある。顧客記録が影響を受けたかどうかを確認し、影響の可能性を評価し、必要に応じて顧客に警告する必要がある。Araraはサービス再開前に、顧客企業へ管理者パスワードやAPIキーなどの認証情報をリセットするよう求める予定だ。
同社は個人情報保護委員会を含む日本の当局に通知し、警察にもインシデントを届け出た。財務面への影響は現在も調査中だ。
サードパーティーのコミュニケーションプラットフォームに依存する企業にとって、今回のAraraへの侵入は、1社のプロバイダーにおけるセキュリティー障害が、数百組織にわたる顧客情報の流出や重要サービスの停止、フィッシングのリスクにつながり得ることを示している。
サイバーセキュリティー関連の別のニュースでは、Videostrong Technologyが、犯罪者による端末の乗っ取りを可能にするファームウェアレベルのバックドアを組み込んだとGoogleが主張したことを受け、 Googleが130万台を超えるAndroid端末を侵害したXCPEボットネットを撲滅した。このバックドアは、住宅向けプロキシサービスや広告詐欺、マルウェア配布に利用されていた。