サイバーセキュリティ大手のCrowdStrikeがハッカーと協力していた内部従業員を解雇

テキサス州に拠点を置く米国のサイバーセキュリティ企業CrowdStrikeは、最近Salesforceに接続されたシステムに関連する企業の侵害を主張したサイバー犯罪集団に内部情報を漏洩したとして告発された従業員を解雇したと報じられている。 

セキュリティ企業は、彼らが「Scattered Lapsus$ Hunters」として知られるグループと連携していたことが判明した後、「内部者」を解雇した。このグループは木曜日の夜から金曜日の朝にかけて、Telegramチャンネルで alleged 内部スクリーンショットの公開を開始した。

Scattered Lapsus$は、Oktaパネルなど、従業員が内部アプリケーションにアクセスするために使用する企業リソースにリンクされたダッシュボードを示す複数の画像を公開した。ハッカーたちは、これらのスクリーンショットは侵害された従業員からのものであり、今週初めにGainsightをハッキングした後にCrowdStrikeへの侵入に成功したことの証拠だと主張した。

CrowdStrikeとGainsightは盗まれた情報の調査を継続中

CrowdStrikeによると、ハッキンググループからの主張やTelegram上の画像は、外部に画面の許可されていない写真を共有した従業員のものであり、同社は自社のシステムに侵害はなかったと主張している。 

「当社のシステムは決して侵害されておらず、顧客は常に保護されていました」と spokesperson のKevin Benacciは ～と語った ニュース出版物TechCrunchに語った。彼は、内部者のアクセスを停止した後、同社が「関連する法執行機関に事件を引き渡した」と追加した。

CrowdStrikeは、彼が「コンピュータの画面の画像を外部に共有した」ことが確認されるとすぐにその作業机を片付けたと主張し、ハッカーチャンネルで流布していた主張は「偽り」だと述べた。

Salesforceは顧客データの侵害を確認

金曜日の朝、Salesforceはインシデントページを更新し、侵害が一部の顧客に影響を与え、「接続障害」を引き起こしていると発表した。不正な行為者が「特定の顧客のSalesforceデータ」にアクセスしたが、どの組織が影響を受けたかは特定しなかった。 

Salesforceは、この侵入がカスタマーサポートおよび分析サービスプロバイダーであるGainsightによって開発されたアプリケーションを通じて行われたと述べた。

その日の遅く、Googleの脅威インテリジェンスグループのAustin Larsen（サイバーセキュリティ部門のシニア脅威アナリスト）は、同社が「200以上の潜在的に影響を受けたSalesforceインスタンスを認識している」と述べた。 

Scattered Lapsus$ Huntersは、Gainsightの統合を通じてデータにアクセスした責任を公に主張し、盗まれた情報を使用して他の企業の顧客を標的にした。

集団内のグループの一つであるShinyHuntersの spokesperson は、「GainsightはSalesloft Driftの顧客であり、彼らは影響を受け、したがって私たちに完全に侵害された」と自慢した。 

Gainsightは攻撃が公になった以来、インシデントページで更新を発信し続けている。金曜日、同社はMandiant（Googleのインシデント対応ユニット）を招いて侵害の調査を支援するよう手配したと述べた。 

Salesforceも、予防措置としてGainsightに接続されたアプリのアクティブなアクセストークンを一時的に無効にし、盗まれたデータを持つ顧客に通知したと、同社の公開アップデートによると。 

「Hubspotを使用している顧客は、Gainsightアプリが予防措置としてHubspotマーケットプレイスから一時的に削除されていることに気づくかもしれません。これはレビュー中に顧客接続のOAuthアクセスにも影響を与える可能性があります。徹底的なレビューの後、Hubspotと連携して再掲載に取り組みます」と、木曜日に公開された進捗報告書の1つで指摘されている。

Scattered Lapsus$ファミリーは複数の高プロファイルな侵害の責任を負っている

Scattered Lapsus$ Huntersは、ShinyHunters、Scattered Spider、Lapsus$など、複数の英語圏のサイバー犯罪グループによって形成されたコラボレーションである。この集団は、ソーシャルエンジニアリング手法を使用して従業員をだまし、ログイン情報を明らかにさせ、リモートアクセスを許可させ、または認証プロンプトを承認させることで有名になった。 

彼らの「征服」リストでは、以前にMGM Resorts、Coinbase、DoorDash、Workdayなどを標的にしてきた。 Aflac保険、およびその他の大企業。昨年10月、Scattered Lapsus$ Huntersは、Salesforceを使用して顧客情報を管理する企業から10億件以上のレコードを盗んだと主張した。 

彼らは、保険会社のAllianz Life、航空会社のQantas、自動車メーカーのStellantis、TransUnion、従業員管理プラットフォームのWorkdayなどのデータを含む漏洩したディレクトリリストを公開した。

過去1年半で、Scattered Lapsus$ファミリーはまた、Atlassian、DocuSign、F5、GitLab、LinkedIn、Malwarebytes、SonicWall、Thomson Reuters、Verizonでのインシデントの責任を公に主張してきた。 

ハッカーたちはTelegramチャンネルで、最新の操作で被害を受けた企業を対象とした新しい恐喝ウェブサイト来週に立ち上げる計画だと述べた。 

「次のデータ漏洩サイトには、SalesloftおよびGainSightキャンペーンのデータが含まれます」と、ハッカーたちはDataBreaches.netに計画を共有した。