Coinbase ハッキング事件に関連し、TaskUs の従業員を巡る新たな告発が浮上

新しい裁判所への提出書類により、5月に発覚したCoinbaseのデータ侵害事件の真相が明らかになりました。提出書類によると、TaskUsの従業員であるAshita Mishra氏が、機密顧客情報の盗難を計画し、それをフィッシング詐欺に利用した犯罪者に流すのを手伝ったことが示されています。

Coinbase 明らかにした 5月時点で、この侵害は少なくとも69,000人の顧客に影響を与えており、被害額は約4億ドルと推定されています。取引所は当初、この侵害をインドに拠点を置くベンダーの不正な社員によるものだと関連付けていました。修正された裁判所提出書類は、TaskUsのサービスセンター従業員であるMishra氏が2024年9月から情報の盗難を開始した経緯を詳述しています。  

TaskUsの従業員が顧客データを販売した疑い

最新の訴訟では、インド・インドルのTaskUs従業員であるAshita Mishra氏が、ソーシャルセキュリティ番号や銀行詳細など機密顧客データをフィッシングハッカーグループに販売したと主張されています。彼女はまた、ハブ・アンド・スポーク型共謀と形容される手法で、他のTaskUs従業員を起用して侵害行為を実行させました。調査官はMishra氏の携帯電話から1万件以上のCoinbase顧客データポイントを発見しました。Mishra氏はデータレコードごとに200ドルの報酬を受け取り、最大200人の顧客のデータを盗み出したとされています。 

侵害行為に関与したハッカーグループは、『the Comm』という緩やかなグループに関連しており、盗んだデータを使用してCoinbaseのスタッフになりすまし、顧客を騙して暗貨資産を渡させました。最新の ⟦N1⟧の技術的研究からの, 侵害行為は5月に開示されました。原告らは、TaskUsが1月に226人の従業員を解雇し、内部HRチームを解散させるなど、侵害の規模を隠すための追加措置を講じたと主張しています。

TaskUsは、2月のForm 10-K 提出物において侵害行為を過小評価することで、規制当局を誤解させたと非難されています。 この提出物では、アウトソーサーが後に侵害に関連する数百人のスタッフを解雇したにもかかわらず、重要なインシデントの開示が省略されていました。インドのベンダーは、Blackstoneとの16億ドルの買収交渉を進めながら、規制当局に対して重要な侵害がないと保証し続けました。 

Coinbaseはベンダーとの関係を断ち切りました。同社は直ちに規制当局と影響を受けた顧客に通知し、影響を受けたアカウントを補償し、内部統制を強化し、TaskUsとのパートナーシップを終了しました。Coinbaseのスポークスパーソンによる声明で、取引所は犯罪者に支払うことを拒否し、代わりに逮捕と有罪判決につながる情報に対して2,000万ドルの報奨金を作成しました。

Coinbaseは、ベンダーの行動は体系的だったと述べています

テキサス州に本社を置くTaskUsは、まだこれらの非難に対して回答していませんが、以前は これを 顧客データの保護へのコミットメントを確認し、セキュリティプロトコルを強化したと述べていました。Coinbaseは、TaskUsの行動が孤立したものではなく体系的だったと主張し、不正な慣行をカバーするFTC法第5条の違反を指摘しました。

規制当局は、TaskUsが暗号化や多要素認証などの十分な保護方法を使用了かどうかを評価するために次のステップを取るexpectedです。また、リスクを回避できたかどうか、および侵害が顧客を身元盗用や金銭的損失にさらしたかどうかを評価します。一方、Coinbaseは影響を受けた顧客から複数の訴訟を受けていますが、取引所はこれまでに請求を統合し、仲裁に事件を移すことを模索しています。 

Cryptopolitan 報告しました。これには完全な準備預金と独立監査が含まれます。 5月、BinanceとKrakenもCoinbaseと同様のソーシャルエンジニアリング攻撃に関与していた可能性があると報じられました。レポートによると、ハッカーはBinanceの従業員を賄賂で買収して機密情報を盗もうとし、調整のためにTelegramの連絡先を共有しました。

Binanceは、AI駆動の監視を使用して会話をフラグ付けして停止し、検証された顧客からの電話に対してユーザーデータへのアクセスを制限しました。一方、Krakenは、侵害の前にCoinbaseに不審な活動について警告していたとして、これらの非難を否定しました。