業務管理ソフトウェアを手がける「アノドット（Anodot）」がサイバー攻撃を受け、同社のシステムを利用する10社以上の顧客企業のデータが流出したことが明らかになりました。ハッカー集団が身代金を要求し、支払わない場合はデータを公開すると脅迫しているということです。
IT専門メディア「ブリーピング・コンピューター」やイギリスの公共放送BBCの報道によりますと、「シャイニーハンターズ（ShinyHunters）」と呼ばれるハッカー集団が今回の攻撃に関与しているとされています。要求に応じない場合、盗み出したデータをインターネット上に公開すると脅迫しているということです。
今回の事件は、大企業が導入しているソフトウェアを標的とし、一度の攻撃で複数の企業から機密データを一斉に盗み出す「サプライチェーン攻撃」の最新の事例として警戒されています。
企業の収益に影響を与えるシステム障害などを検知するサービスを提供するアノドットは、4月4日にシステム障害が発生したと発表しました。データ接続機能が停止し、顧客がクラウド上に保存されたデータにアクセスできなくなったとしています。
報道によりますと、ハッカー集団はアノドットのシステムに侵入し、顧客がクラウド上のデータにアクセスするための認証トークンを盗み出しました。そして、このトークンを悪用してクラウドストレージから大量の顧客データを不正に取得したということです。
これを受け、クラウドストレージを提供する「スノーフレイク（Snowflake）」は、一部のデータ保存領域で不審な活動を検知したため、アノドットの顧客によるデータへのアクセスを遮断したということです。
被害を受けた企業の中には、人気ゲーム「グランド・セフト・オート」などを手がける「ロックスター・ゲームス」が含まれていると報じられています。
同社の広報担当者は取材に対し、「第三者のデータ流出に関連して、当社の機密ではない情報の一部に不正アクセスがあったことを確認しました。この事象による当社の組織やプレイヤーへの影響はありません」とコメントしています。なお、同社は2022年にもサイバー攻撃を受けています。
スノーフレイクや、アノドットの親会社である「グラスボックス（Glassbox）」は、現時点でコメントを出していません。
今回関与が指摘されている「シャイニーハンターズ」は、主に英語を使用し、データの窃取と脅迫を行うことで知られるハッカー集団です。企業のITサポート担当者を装って従業員をだまし、社内ネットワークへのアクセス権限を不正に取得するなど、人間の心理的な隙を突く手口を多用するとしています。
同集団は、クラウド上に大量のデータを保存している企業を標的とする方針をとっています。過去1年間には、アノドットのほか「ゲインサイト（Gainsight）」や「セールスロフト（Salesloft）」など、クラウド上の大規模なデータ分析を支援する企業を狙い、パスワードや認証トークンの窃取を図ってきたということです。盗み出されたデータに含まれるトークンが悪用され、他の企業へのさらなる不正アクセスにつながったケースも確認されています。
