パスワード管理サービスを提供するアメリカの「LastPass（ラストパス）」は、提携先の企業のシステムがサイバー攻撃を受けた影響で、自社の顧客の個人情報やサポート対応の履歴などが流出したと発表しました。
会社側によりますと、不正アクセスを受けたのは提携先である市場調査会社「Klue（クルー）」のシステムだということです。このサイバー攻撃によって、LastPassの顧客の名前や電話番号、メールアドレス、住所のほか、カスタマーサポートの対応履歴や販売に関するデータがハッカーに取得されたとしています。
一方で、LastPassは自社のシステムそのものには不正アクセスはなく、顧客のパスワードを保存しているシステムへの影響はないと強調しています。
流出したカスタマーサポートの対応履歴には、料金に関する問い合わせやアカウントへのアクセス支援などのやり取りが含まれているとみられます。過去のサイバー攻撃の事例では、こうしたサポート履歴の中に個人の認証情報や身分証明書のデータが含まれていたケースもあり、情報の悪用が懸念されています。
今回のKlueへのサイバー攻撃をめぐっては、LastPassのほかにも複数のサイバーセキュリティ企業がデータの流出を報告しているということです。ITメディアの報道によりますと、LastPassの広報担当者は、被害に遭った顧客の数など詳細な質問には現時点で回答していないということです。
LastPassは、世界で3300万人以上のユーザーを抱えています。同社は2022年にも大規模なデータ流出被害に遭っており、その際は顧客のパスワード保管データが盗み出され、一部の暗号資産の盗難につながった疑いが指摘されていました。
一方、不正アクセスを受けたKlueのジェイソン・スミスCEOは、今年6月12日にシステムへの侵入を確認したと明らかにしています。この事件をめぐっては、「Icarus（イカルス）」と名乗るハッカー集団が犯行声明を出しており、身代金が支払われない場合、盗み出したデータを公開すると脅迫しているということです。
