米マイクロソフトのクラウド基盤「Azure（アジュール）」を利用する大手企業から、従業員情報など約364万件が盗まれたとする主張が浮上しました。攻撃者はマクドナルドやボーダフォンなどのデータを闇サイトで販売しているとされ、企業側は一部で流出を否定しています。
大手企業が次々に標的に
問題を報じたセキュリティ専門メディアによると、「TheHatman」を名乗る攻撃者が7月31日以降、複数の大手企業のデータを次々に売りに出しました。標的とされたのは、マクドナルド、ギャップ、ボーダフォン、タタ・コンサルタンシー・サービシズ（TCS）、HCLテクノロジーズ、インターコンチネンタルホテルズ、キンドリルなどです。
攻撃者は合計で約364万件の記録を保有していると主張し、直近ではマクドナルドの従業員170万件分を投稿したとしています。流出したとされる情報には、氏名や従業員ID、メールアドレス、役職、電話番号、住所などが含まれます。攻撃手法としては、パスワードを総当たりで試す「パスワードスプレー」や、認証要求を繰り返して利用者を疲弊させる「MFA疲労攻撃」が使われたと説明しています。
企業は否定、専門家は関連指摘
一方、タタとギャップは流出の証拠はないとし、データは古く機微な情報ではないと反論しています。ただし、セキュリティ企業ハドソンロックは、情報窃取型マルウェア（インフォスティーラー）の感染と、複数企業のAzure認証情報の流出との関連を示す証拠を確認したとしており、事態の全容はなお不透明です。
日本への影響
今回の一件は、クラウドを使うすべての日本企業にとって警鐘となります。標的とされたTCSやHCLはインド系のIT大手ですが、日本国内でも多くの企業のシステム開発や運用を請け負っており、委託先を経由した情報流出のリスクは決して人ごとではありません。Azureは日本企業でも広く使われているクラウド基盤であり、自社だけでなく取引先や委託先の管理体制まで含めた点検が求められます。
とりわけ深刻なのは、攻撃の入り口がクラウド自体の欠陥ではなく、盗まれた認証情報や多要素認証（MFA）の突破だった点です。パスワードの使い回しをやめ、フィッシング耐性の高い認証方式を導入することが、企業にも個人にも欠かせません。日本の読者としては、勤務先や利用サービスから不審なログイン通知が届いた際にすぐ対応できるよう、二段階認証の設定を改めて見直しておくことが求められます。
まとめ：クラウドの安全を破ったのは高度な技術ではなく、盗まれたパスワードでした。基本の対策こそが最大の防御だと、改めて心に刻みたいですね。
出典：
BleepingComputer – Hacker claims 3.6 million Azure account records stolen
IT Pro – What we know so far
Photo: Christina @ wocintechchat.com M / Unsplash
