SoundCloudは、ユーザーから広範なアクセス障害やVPN関連の停止が報告されたことを受け、セキュリティ侵害を確認した。脅威アクターがユーザー情報を含むデータベースにアクセスしていたことも明らかになった。
このインシデントによりサービスの可用性が損なわれ、数百万人のユーザーにひもづくアカウントデータが流出した。パスワードや金融情報が侵害されたとの報告はないものの、その後の悪用が懸念されている。
SoundCloudは、声明で、補助サービスのダッシュボードに関わる「不正な活動」を検知し、直ちにインシデント対応手順を開始したと述べた。
同社はまた、一部のデータにはアクセスされたものの、「金融情報やパスワード情報などの機密データにはアクセスされていない」と説明した。流出した情報は、メールアドレスと、SoundCloudの公開プロフィールですでに閲覧可能だった詳細情報に限られるという。
SoundCloudの情報流出がユーザーに意味すること
今回の情報流出は、世界中で大規模なユーザーベースを持つ広く利用された消費者向けプラットフォームに影響した。つまり、限られたデータの流出でも、大規模になれば重大なセキュリティ上の影響を及ぼし得る。
BleepingComputerによると、SoundCloudのユーザーのおよそ20％が影響を受けた。公開されている数字に基づけば、これは約2800万アカウントに相当する可能性がある。
データ自体は機密性が低い可能性があるが、流出したメールアドレスは、フィッシングキャンペーンや認証情報の詰め込み攻撃、ユーザーを標的とするソーシャルエンジニアリング攻撃に悪用される恐れがある。
SoundCloudは、すべての不正アクセスを遮断し、プラットフォームに継続的なリスクはないと考えていると述べた。
同社はまた、防御を強化するため、第三者のサイバーセキュリティ専門家と協力していると説明した。取り組みには、監視と脅威検知の改善、IDおよびアクセス制御の見直し、同様のインシデントを防ぐための関連システムの評価が含まれる。
VPNアクセスの問題がSoundCloudの情報流出を明らかに
今回の情報流出が明らかになったのは、ユーザーがVPN接続経由でSoundCloudにアクセスしようとした際、HTTP 403 Forbiddenエラーが繰り返し表示されたと報告し始めた後だった。
当初、一部のユーザーはプラットフォームが意図的にVPN通信を遮断したと考えていた。しかしSoundCloudは後に、この障害はセキュリティ対応中に行った設定変更が原因だったと説明した。
封じ込めの取り組みに続き、SoundCloudではサービス拒否攻撃も発生し、一時的にウェブサイトの可用性に影響が出た。
補助ダッシュボードへのアクセスがデータ流出につながる
SoundCloudによると、攻撃者は同社の中核的な本番システムではなく、補助サービスのダッシュボードを通じてアクセスを取得した。
侵入方法に関する詳細は依然として限られているが、内部ダッシュボードへのアクセスによって大規模なデータセットが流出し、恐喝やさらなる攻撃につながる機会が生じる可能性がある。
SoundCloudは、責任を負う脅威アクターを公には特定していない。
しかしBleepingComputerは、ShinyHunters恐喝グループが攻撃の背後におり、データベースを盗んだとされる後、同社を恐喝しようとしていると主張する情報源から情報を受け取ったと報じた。
サイバーレジリエンスを高める実践的な対策
以下に、組織がリスクを低減し、可視性を高めるために講じられる実践的な対策を示す。
- 高まるフィッシングリスクについてユーザーを教育し、SoundCloudの活動に言及した迷惑メールやメッセージには注意するよう促す。
- 補助システムや中核以外のシステムを保護するため、最小権限アクセスを徹底し、権限を監査するとともに、中核インフラと同じセキュリティ基準を適用する。
- インデンティティおよびアクセス管理を強化するため、セッションの有効期間を短縮し、認証情報をローテーションするとともに、インシデント後にはアクティブなセッションを無効化する。
- 監視を改善し検知を強化するため、詳細なログを取得し、ダッシュボード、API、管理ツールへの異常なアクセスをリアルタイムで警告する。
- インシデント対応プレイブックをテストし、改善することで、セキュリティ制御や設定変更が正当なユーザーアクセスを意図せず妨げないようにする。
- 第三者サービスと内部サービスの可視性を高める一方で、インシデント後の悪用監視も拡充し、フィッシング、データの不正利用、さらなる攻撃を検知できるようにする。
これらの対策を組み合わせることで、組織は露出を抑え、異常な活動を早期に検知し、インシデントに対応する能力を高め、より強固なサイバーレジリエンスを実現できる。
中核以外のシステム侵害が高まるリスク
SoundCloudのインシデントは、攻撃者がデータを収集したり恐喝の圧力をかけたりする効率的な手段として、二次的なシステムや広くアクセス可能なプラットフォームにますます注目するという、より広範な傾向を示している。
流出した情報が限られている場合でも、大規模な消費者向けプラットフォームでは、その規模によって影響が増幅され、その後に重大なリスクが生じる可能性がある。
デジタルエコシステムが複雑化する中、このインシデントは、サイバーレジリエンスには中核インフラだけでなく、攻撃者が最初に標的にしがちな周辺サービスも保護する必要があることを浮き彫りにしている。
この変化は、多くの組織がゼロトラスト原則（暗黙の信頼を制限し、中核システムと周辺システムの双方で侵害の影響を抑えるもの）へと移行している理由を浮き彫りにする。