世界的な会計大手アーンスト・アンド・ヤング（EY）で、顧客の税務情報などが流出したことが明らかになりました。恐喝集団「シャイニーハンターズ」が犯行を主張し、7月31日までに交渉に応じなければ盗んだデータを公開すると脅しています。取引先を経由した「サプライチェーン攻撃」の危険性を改めて浮き彫りにする事案です。
外部のサポートシステムが突破口に
EYの説明によると、社内のIT担当者が使う外部業者のサポート受付システムが侵害され、顧客の税務情報を含む可能性のあるサポート記録が盗まれました。EYは4月23日に不審な動きを検知し、攻撃者が3月28日から4月12日にかけてシステムに侵入し、複数の文書をダウンロードしていたと突き止めています。
カード番号や社会保障番号も流出か
流出した情報には、氏名や住所に加え、社会保障番号やクレジット・デビットカード番号などの機微な個人情報が含まれるとされます。EYは影響を受けた顧客に対し、信用調査大手エクスペリアンを通じた24カ月分の個人情報監視サービスを提供する方針です。
ダークウェブで「最終警告」
犯行を主張するシャイニーハンターズは、企業から盗んだデータを人質に金銭を要求することで知られる恐喝集団です。今回はダークウェブ上の暴露サイトに「最終警告」として7月31日の期限を掲げ、EYが交渉に応じなければ全データを公開すると脅しています。取引先のシステムを踏み台にする手口は近年増えており、直接の防御が難しいだけに企業の対策が急務となっています。
日本への影響
今回の事案は、日本の企業にとっても人ごとではありません。EYは日本でもEY新日本有限責任監査法人などを通じて多くの企業と取引しており、グローバルに情報を共有する大手ほど、取引先を経由した攻撃の被害が広範囲に及ぶ恐れがあります。監査や税務で機微な情報を預ける日本企業は、委託先のセキュリティ体制まで含めて点検しておくことが求められます。
対策の面でも学ぶべき点は多いといえます。今回の攻撃は自社ではなく外部のサポートシステムが突破口となっており、いくら自社の守りを固めても、取引先が弱ければ被害を防げないことを示しています。日本企業は委託先を含めた供給網全体でのセキュリティ管理を強化し、万一の流出に備えて顧客への通知や補償の手順をあらかじめ整えておくことが重要です。個人としても、身に覚えのない請求やなりすましに警戒を強めておきたいところです。
まとめ：情報流出は取引先を経由して広がる時代に入りました。委託先まで含めた守りの点検を、企業も個人も怠らないようにしたいものです。
出典:
BleepingComputer – Ernst & Young data breach claimed by ShinyHunters extortion gang
SecurityWeek – Ernst & Young Data Breach Affects Personal, Financial Information
TechRadar – Ernst & Young reveals data breach following hack on support system
Photo: Markus Spiske / Unsplash
