身代金要求拒否後、スタンダード銀行に大規模データ漏洩

「Rootboy」という名前で活動する脅威アクターが、南アフリカ最大の金融機関の一つであるスタンダード銀行から盗まれたとされる1億5400万行のSQLデータの公開リリースを開始した。報告によると、この漏洩は銀行が1ビットコインの身代金要求の支払いを拒否した後に始まったという。攻撃者は引き下がることなく、毎日データをダンプ形式でリリースするという対応を取っており、機密性の高い記録の新たなバッチが継続的に公開されている状態となっている。

漏洩したデータの規模と機密性から、これは近年アフリカ大陸で発生した金融データ侵害の中でも特に深刻なものの一つとなっている。流出した記録には、南アフリカのID番号、パスポート番号、運転免許証の詳細情報、クレジットカード番号のほか、従業員データや企業の取引記録が含まれているとされている。

流出したデータの内容

流出したデータセットは、幅広い個人を特定できる情報（PII）を網羅している。個人にとって最も懸念される要素は、政府発行の身分証明書類、すなわち南アフリカのID番号、パスポートの詳細情報、運転免許証情報である。これらはパスワード変更でリセットできるアカウント認証情報とは異なり、個人の法的アイデンティティに結びついた永続的な識別子である。

漏洩データにはクレジットカード番号も含まれている。身分証明書類の詳細情報と組み合わせることで、金融詐欺、アカウント乗っ取り、あるいは犯罪者が被害者になりすましてカスタマーサービス担当者を騙すソーシャルエンジニアリング攻撃に利用可能なプロファイルが作成される可能性がある。

従業員データや企業の取引記録は、さらなるリスクをもたらす。大手銀行の内部業務に関するデータは、説得力のあるフィッシングキャンペーンを仕掛けたり、組織内の高価値ターゲットを特定しようとする他の犯罪者にとって価値ある情報となり得る。

このような侵害が悪用される手口

この種のデータが公開されたり犯罪フォーラムで売買されたりする場合、そこで終わることはほとんどない。脅威アクターは漏洩したデータセットを利用して、さまざまな二次攻撃を仕掛ける。

最も一般的な手口の一つがクレデンシャルスタッフィングである。流出データにログイン認証情報や他の漏洩データベースと照合可能な情報が含まれている場合、自動化ツールがバンキングアプリ、メールサービス、小売アカウントに対してその認証情報を試行する。スタンダード銀行と直接取引がなかった場合でも、第三者との関係を通じてその人のデータがこの侵害に含まれている可能性がある。

攻撃者が実際の個人データを持っている場合、フィッシングキャンペーンはより標的を絞った説得力のあるものになる。ID番号、実名、利用している金融機関への言及が含まれた詐欺メッセージは、一般的な詐欺メールよりもはるかに成功しやすい。

政府のID番号が入手可能な場合、特に他人名義での新規口座開設やクレジット申請といった形の個人情報窃取が格段に容易になる。南アフリカのID番号には生年月日や国籍情報がエンコードされており、知識ベース認証に依存する本人確認システムにとってのマスターキーとなる。

あなたが取るべき対策

スタンダード銀行の顧客である場合、あるいは南アフリカの金融機関に身分証明書類を提出したことがある場合は、自分のデータが管理できない場所で流通している可能性があるという前提で行動すべきだ。

今すぐ実施すべき具体的なステップを以下に示す：

  • 信用情報を監視する。 信用報告書を請求し、信用情報機関がアラート設定を提供している場合は利用する。説明のつかない新規口座や照会は、個人情報詐欺の初期サインである。
  • 金融アカウントのパスワードを変更する。 各アカウントに固有の強力なパスワードを使用し、利用可能な場合は必ず多要素認証を有効にする。
  • 外部からの連絡に対して懐疑的になる。 銀行を名乗る人物から電話やメッセージが来ても、個人情報を確認してはいけない。電話を切り、公式ウェブサイトに掲載されている番号を使って直接機関に連絡する。
  • フィッシングの試みに注意する。 銀行、ID番号、または最近の取引に言及したメールやSMSは、特にリンクや緊急の対応要求が含まれている場合、疑いを持って扱う。
  • 不正アラートまたは個人情報保護サービスの利用を検討する。 一部の信用情報機関では、プロファイルにアラートを設定して、あなたの名義で新たな信用が発行される前に追加確認が必要となる仕組みを提供している。

侵害発生後の自己防衛は、起きたことを元に戻すというより、犯罪者が次のステップを踏みにくくすることを目的としている。データはすでに流出している。今の目標は、二次攻撃の攻撃対象領域を縮小することだ。

スタンダード銀行の事件は、機関が保有する個人データには実際のリスクが伴い、そのリスクは口座を解約したりサービスの利用を停止したりしても消えないことを改めて示している。情報を把握し、アカウントを監視し、基本的なデジタルセキュリティを実践することが、このような大規模な侵害の発生後に個人が取り得る最も効果的な手段である。