「n0n」と名乗る恐喝グループが、金融テクノロジープロバイダーであるFinzlyの決済インフラに関わるアクセス機密を保有していると主張している。American Bankerが最初に報じたこのFinzly n0n恐喝・銀行ベンダーの件は、現在も進展中である。SynovusやFirst Citizensを顧客に持つFinzlyは、調査を行っていると述べている。

報道は短く、多くの詳細はまだ公になっていない。それでも、この状況はリスクが金融システムを通じてどのように伝わるかを示している。一つのベンダーへの脅威は、多くの銀行の顧客にとって重要になり得るのだ。

n0nがFinzlyから取得したと主張しているもの

American Bankerによれば、n0nはFinzlyの決済インフラに関連するアクセス機密を保有していると主張している。このグループはそれらを漏洩させると脅迫している。入手可能な情報に基づく限り、Finzlyは主張の範囲を確認しておらず、調査中である。

ここでは二つの注意点が当てはまる。第一に、恐喝グループの主張は証明ではない。この種のグループは圧力を高めるために、保有しているものを誇張することがある。第二に、「アクセス機密」という用語は元の報道では定義されていない。一般に、この表現はシステム同士が通信するための認証情報や鍵を指すことがあるが、n0nが正確に何を主張しているのかは分からない。報道された以上のことを推測することはしない。

決済ベンダーの侵害が銀行顧客にまで及ぶ理由

銀行は、顧客が見ることのない機能、たとえば決済処理の一部について、外部のテクノロジープロバイダーに依存している。Finzlyの顧客にはSynovusやFirst Citizensが含まれており、つまりベンダーの環境における問題は、原理的にはこれらの金融機関およびそこに口座を持つ人々に下流の影響を及ぼし得るということだ。

これがこの記事の核心的な教訓である。顧客がすべてを正しく行い、強力なパスワードを使い、多要素認証を有効にし、不審なリンクを一度もクリックしなくても、その連鎖の中の一企業が侵害されれば、依然として危険にさらされる可能性がある。ベンダーのインシデントがあなたの懸念事項となるために、あなたのアカウントが直接侵害される必要はないのだ。

ここでは冷静であり続けることが重要である。報道は、顧客アカウントがアクセスされたとも、資金が移動したとも述べていない。述べているのは、恐喝グループが機密を保有していると主張しており、ベンダーが調査中であるということだ。この区別は重要である。

n0nのような恐喝グループが被害者に圧力をかける方法

恐喝グループは通常、公の脅迫と期限に頼る。目的は、沈黙のコスト、あるいは漏洩のコストを、支払いのコストよりも高く感じさせることである。被害者とその著名な顧客を名指しすることは、顧客やパートナーが質問を始めるため、評判上の圧力を加える。

このパターンはよく知られている。ランサムウェア集団が2日間の期限を設けてT-Systemsを漏洩サイトに掲載したとき、戦略は同様だった。標的を公表し、時計を設定し、決断を迫るのだ。現代の攻撃はしばしばデータ窃取と公開の脅迫を組み合わせる。このモデルは二重恐喝ランサムウェアに対する最初の1時間の対応計画で説明している。

要求が満たされない場合に何が起こるかは、深刻になり得る。別の事例では、Luna Mothが恐喝要求の未払い後にJones DayとMayer Brownのデータを漏洩させた。これはFinzlyについての予測ではなく、こうした脅威が時に実行されるという注意喚起にすぎない。

あなたにとって何を意味するか

SynovusやFirst Citizens、あるいは第三者の決済プロバイダーを利用するあらゆる金融機関に口座を持っている場合でも、現在の報道に基づいて確認された必要な行動はない。しかし、賢明な習慣はほとんどコストがかからず、あらゆるベンダーのインシデントにおいて役立つ。

  • 明細とアラートを確認する。 取引通知をオンにし、定期的に利用状況を確認する。
  • 予期しない連絡に注意する。 このようなインシデントは、銀行を名乗るフィッシングを誘発することがある。迷惑メッセージ内のリンクはクリックせず、銀行の公式サイトやアプリに直接アクセスする。
  • 強力でユニークなパスワードと多要素認証を使用する。 これにより、認証情報が漏洩した場合の被害を限定できる。
  • 公式の通知に頼る。 銀行やFinzlyが影響を確認した場合は、ソーシャルメディアの噂ではなく、彼らの指示に従う。
  • 信用の凍結や監視の方法を知っておく。 個人データの露出が確認された場合、信用凍結は無料で実用的な措置である。

主な要点

Finzly n0n恐喝・銀行ベンダーの件は主張であり、顧客データの侵害が確認されたわけではなく、Finzlyの調査が何が正確かを明らかにするだろう。より広い論点はいずれにせよ成り立つ。あなたの金融の安全性は、部分的には、あなたが選んだこともなく、聞いたこともないかもしれない企業に依存しているのだ。

こうした脅威が通常どのように展開し、組織や個人が早期に何をすべきかを理解するには、二重恐喝対応計画をお読みください。要求が未払いとなった後に何が起こり得るかの例については、Luna Mothに関する私たちの報告をご覧ください。より多くの検証済みの詳細が明らかになり次第、この記事を更新します。