AT&Tのハッキング事件について、さらなる詳細が明らかになりつつある。この事件では、約1億1000万人の顧客の個人データが漏洩し、電話やテキストメッセージのやり取りの記録も含まれている。

報道によると、通信事業者はハッカーがデータを削除するのと引き換えにビットコインの身代金を支払い、FBIの要請に応じてセキュリティ侵害の公表が2か月延期されたという。

AT&Tの大規模ハッキング

航空会社は先週、ハッキング事件を公表した。

AT&Tの大規模データ侵害により、ハッカーは同社のほぼ全顧客（約1億1000万人のアメリカ人）の個人データを盗むことができました。この信じられないセキュリティ上の欠陥により、盗まれたデータには顧客の電話番号だけでなく、誰が誰に連絡を取ったかの記録も含まれており、プライバシーを脅かす地雷原となる可能性があります。

航空会社は、データはサードパーティのクラウドプラットフォームから取得されたと述べており、現在ではこのプラットフォームはSnowflakeであると考えられています。このプラットフォームからは、他社のデータも取得されていました。これには、TicketMasterの顧客5億6000万人の個人データの取得も含まれています。

キャリアが身代金を支払った

Wiredは、AT&Tがデータ削除と引き換えにハッカーに身代金を支払ったという証拠を提示しました。ハッカーは当初100万ドル相当のビットコインを要求しましたが、最終的に支払われた金額は37万3000ドル相当でした。

安全対策が不十分なSnowflakeクラウドストレージアカウントを通じて多数の被害者からデータを盗み出した悪名高いハッカー集団「ShinyHunters」の一員であるこのハッカーは、AT&Tが5月に身代金を支払ったことをWIREDに語った。彼は、身代金を送金した暗号通貨ウォレットのアドレスと、送金を受けたアドレスも提供した。

Wired自身と暗号資産追跡会社TRM Labsは、ハッカーの主張に一致する取引を独自に確認しました。さらに、仲介役を務めたセキュリティ研究者も支払いを確認し、証拠を提示しました。

AT&T、FBIの要請で開示を延期

通常、法律では、企業はデータ侵害を発見後4日以内に証券取引委員会（SEC）に報告することが義務付けられています。この義務は、顧客ではなく株主の保護を目的としています。

しかし、今回のケースでは、AT&TがまずFBIに連絡し、FBIは同社に情報公開を延期するよう求め、SECの要件の免除を認めたとCNNは報じている。

同社は、米国司法省が5月と6月に公表の延期を正当化する判断を下したと述べた。FBIによると、AT&Tはハッキングを知った直後に連絡を取ったが、FBIは国家安全保障または公共の安全に対する潜在的なリスクを懸念し、データの精査を希望していたという。

FBIは声明で、「侵害の性質を評価するにあたり、すべての関係者は、国家安全保障および/または公共の安全に対する潜在的なリスクのため、公表が遅れる可能性について話し合った」と述べた。

これは、国家安全保障や公共の安全に対する潜在的な懸念を理由に、司法省が企業に対し SEC への情報開示提出を延期するよう要請した初のサイバーインシデントと思われる。

FBIは提供された情報を利用して少なくとも1人の逮捕を行った。

画像: Unsplash の Michael Förtsch

havebin.com を Google ニュース フィードに追加します。