Flinkで食料品を注文したことがあるなら、個人データをダークウェブに出さないために少額の支払いを要求する奇妙なメールを受け取ったかもしれない。報道によると、約100万件の記録がオークションにかけられ、顧客には約12ユーロの恐喝要求が届いているという。Flinkのデータ漏洩について、次に何をすべきか知りたい人のために、このチェックリストでは、漏洩の確認、アカウントの保護、そしてその後によく見られる詐欺の見分け方について説明する。

Flinkの漏洩で何が盗まれたのか

この事件の背後にいる攻撃者たちは、恐喝グループLPG Groupとして特定されており、100万人以上の買い物客と13,000人の従業員に属するデータを入手したと主張している。Flinkの顧客に対するLPG Groupの身代金要求に関する以前のレポートでは、このグループの主張をより詳しく扱っている。

私たちが確認した資料には、関与するすべてのデータ項目の完全で検証済みのリストは含まれていないため、詳細な主張は慎重に扱うべきだ。明らかなのは、攻撃者たちが人々に直接メールを送れるだけの顧客連絡先情報を持っていたということだ。少なくとも、あなたのメールアドレスとアカウントに紐づく身元情報が犯罪者の手に渡っている可能性を想定すべきだ。報道によれば、Flinkは攻撃者への支払いを拒否し、盗まれた記録はオークションに出品されたという。

12ユーロの身代金要求が無視しにくい理由

私たちの多くは、恐喝と聞くと大企業に対する数百万ドル規模のランサムウェア要求を連想する。1人あたり約12ユーロという要求は、それとは仕組みが異なる。問題をなくすためだけに支払う人もいるかもしれないほど少額であり、攻撃者は1人の被害者と交渉する代わりに、何千通ものメッセージを一度に送ることができる。

これがマイクロランサムの論理だ。各被害者にとっての負担は取るに足らないように感じられるが、大規模な顧客リスト全体に掛け合わせると積み上がる。ある報道では、攻撃者たちが合計20万ユーロ以上を集めることを期待していたが、誰も支払わなかったと示唆されている。

この事件の報道で引用されているセキュリティ上の指針は一貫している。返信せず、支払うな、ということだ。返信すると、あなたのアドレスが有効で監視されていることが確認され、詐欺師にとってより価値が高まる。支払うことはこのモデルに資金を提供するだけで、データが削除される保証はない。一度コピーされたデータについて、犯罪者の削除の約束は検証できない。

Flinkアカウントが影響を受けたか確認する方法

まず、すでに手元にある証拠から始めよう。

  • メールを探す。 受信トレイと迷惑メールフォルダで、Flink、あなたのデータ、または暗号通貨やユーロでの支払い要求に言及したメッセージを検索する。1通でも受け取っていれば、あなたの情報が盗まれたデータ群に含まれていた強い兆候だ。
  • アカウントのメールを確認する。 Flinkに別のアドレスやエイリアスアドレスを使っていた場合は、そこに恐喝メッセージが届いていないか確認する。
  • 公式チャネルを注視する。 SNSで共有されたスクリーンショットに頼るのではなく、Flink自体からの通知を探す。確認したい場合は、メール内のリンクではなく、Flinkの公式アプリまたはウェブサイトを通じて連絡する。
  • 漏洩通知サービスを使う。 あなたのメールが既知の漏洩に現れているかを確認する信頼できるツールを使えば、あなたのアドレスが他のどこかで出回っているかがわかる。問題なしという結果は、影響を受けていないことの証明にはならない。新しい流出データは時間とともに現れるからだ。

恐喝メールを受け取っていなくても、暴露されている可能性はある。攻撃者が必ずすべての被害者に連絡するわけではない。

Flinkデータ漏洩：アカウントを守るためにすべきこと

緊急度の順にこれらの手順を進めよう。

  1. 恐喝メールには関わらない。 返信、リンクのクリック、添付ファイルの開封、支払いをしない。メールクライアントでフィッシングとしてマークし、削除する。
  2. Flinkのパスワードを変更する。 他のどこでも使っていない、長く固有のパスワードを選ぶ。
  3. 使い回しているパスワードを交換する。 Flinkのパスワードが他のアカウントと一致するなら、それらも変更する。まずメール、銀行、ショッピングのアカウントから始める。メールアカウントが最も重要だ。なぜなら、それを通じて他のすべてをリセットできるからだ。
  4. 二要素認証を有効にする。 提供されている場所では、認証アプリまたはハードウェアキーを使う。これにより、パスワードが漏洩した場合でもほとんどのアカウント乗っ取りを防げる。
  5. 支払い方法を見直す。 銀行やカードの明細で身に覚えのない請求を確認し、アプリを使わなくなったなら保存済みカードの削除を検討する。
  6. パスワードマネージャーを使う。 固有のパスワードを実用的にし、使い回しや弱いパスワードを指摘してくれる。

あなたにとって何を意味するか

差し迫ったリスクは、盗まれたデータがあなたのFlinkアカウントに対して使われることよりも、その後に何が起こるかにある。氏名とメールアドレスを持つ犯罪者は、説得力のあるフィッシングメッセージを送ったり、Flinkサポートを装ったり、返金やアカウント修正を提供すると称したりできる。今後数週間は、配送をテーマにしたSMSやメールに警戒してほしい。

緊急性をあおり、暗号通貨での支払いを求め、リンク経由でのログインを促すメッセージは疑うべきだ。Flinkからのメッセージと称する場合は、アプリを直接開くか、ブラウザにアドレスを入力する。本物の企業が顧客に身代金を要求することはなく、支払わなければデータを公開すると脅すのは圧力戦術であり、法的な手続きではない。

また、少額の要求はリスクが小さいことを意味しないと覚えておこう。その金額は、あなたの警戒心を下げるために設計されている。

主なポイント

Flinkのデータ漏洩と何をすべきかについて知りたい人への答えは、いくつかの実践的な行動に集約される。

  • 恐喝要求に返信したり支払ったりしない。
  • 受信トレイと漏洩通知サービスを確認して、暴露を確かめる。
  • Flinkのパスワードと、それを共有しているすべてのアカウントを変更する。
  • メール、銀行、ショッピングのアカウントで二要素認証を有効にする。
  • 予期しない配送、返金、サポートのメッセージは、公式チャネルで確認するまで疑わしいものとして扱う。

これらの要求の背後に誰がいるのかを知るには、LPG GroupとFlink顧客への身代金要求に関する背景記事を読んでほしい。そして今日10分を使って、自分の暴露状況を確認し、使い回しているパスワードを修正し、二要素認証をオンにしよう。