金銭目的の攻撃集団「シャイニーハンターズ」が、顧客管理システム「セールスフォース」の設定ミスを突いた大規模な情報窃取・脅迫キャンペーンを続けています。スイスの眼科医療大手アルコンからは2500万件超の顧客データを盗んだと主張し、「支払わなければ公開する」と迫りました。設定不備を放置した企業が、次々と標的にされています。
狙われたのは「設定ミス」
シャイニーハンターズは、盗んだデータの暗号化ではなく「支払うか、さもなくば公開か」という脅迫を得意とする集団です。攻撃の入り口は、セールスフォースの「エクスペリエンス・クラウド」（社外向けの会員サイト機能）における、ゲストユーザー権限の設定ミスでした。公開状態のサイトを大量に走査し、権限設定の甘いところから内部データにアクセスしていたとされます。
アルコンなど複数企業に被害
アルコンをめぐっては8月2日、同集団が2500万件を超えるセールスフォースの記録を盗んだと主張し、8月4日までに接触がなければ公開すると警告しました。その後、氏名や電話番号、住所を含む約21万8000件のメールアドレスが実際に流出したと報じられています。標的はアルコンにとどまらず、特許管理のケステルやレーザー機器のルーメニス、警備のブリンクス・ホームなど複数の企業に及んでいます。
今回の一連の攻撃が示すのは、ソフト自体の欠陥ではなく、利用企業側の「設定ミス」が突かれているという事実です。クラウドサービスを導入するだけで安全になるわけではなく、権限設定やアクセス範囲を適切に管理しなければ、大量の顧客情報が外部に丸見えになりかねません。専門家は、公開サイトのゲスト権限の総点検を急ぐよう促しています。
日本への影響
セールスフォースは日本でも多くの大企業や中堅企業が顧客管理に使っており、今回のキャンペーンは対岸の火事ではありません。会員サイトや問い合わせフォームを「エクスペリエンス・クラウド」で構築している企業は、ゲストユーザーの権限が広すぎないか、いますぐ点検することが求められます。設定ミスは自社の責任範囲であり、サービス提供元任せにできない点に注意が必要です。
流出したデータが日本の顧客を含む場合、企業は個人情報保護法に基づき、個人情報保護委員会への報告と本人への通知が義務づけられます。対応が遅れれば、行政指導や信用の失墜という形で経営に響きかねません。日本の読者にとっては、利用しているサービスから不審なメールが届いていないか警戒し、パスワードの使い回しを避けるといった基本的な自衛策を徹底することが、身を守る近道となります。
まとめ：クラウドは「入れれば安心」ではなく、設定と運用が安全を左右します。自社と自分の情報を守るため、権限管理の総点検を進めていきましょう。
出典：
DeXpose – ShinyHunters Breach Alcon Inc.
TechNadu – ShinyHunters Data Leaks Expose Nearly 1 Million Brinks Home and Alcon Accounts
Photo: Sajad Nori / Unsplash
