Reddit にフィッシング攻撃：従業員を騙して機密情報を漏洩させる

Reddit Hit By Phishing Attack, Source Code Stolen

2023/02/10 InfoSecurity — 2023年2月5日に Reddit でサイバー攻撃が発生し、従業員の機密情報を漏洩したが、高度に洗練された標的型フィッシング攻撃により、内部システムが侵害されたことに原因がある。同社は木曜日に、「攻撃者は、認証情報とセカンド・ファクター・トークンを盗むために、イントラネットのゲートウェイの動作を模倣した Web サイトを、従業員に示すというプロンプトを送信した。一人の従業員の認証情報の取得に成功した攻撃者は、いくつかの内部文書／コード／内部ダッシュボード／ビジネスシステムなどにアクセスできるようになった」と述べている。

しかし Reddit は、同社のデータの大半が保存されている、主要なプロダクション・システムに対する侵害の痕跡はなかったと述べている。

同社が開示した情報には、「漏えいしたのは、数百名の会社の連絡先や、従業員たちの限られた連絡先情報、および、広告主の情報などだ。セキュリティ／エンジニアリング／データサイエンスたちによる、数日間にわたる初期調査をベースにすると、顧客の非公開データがアクセスされた証拠はなく、また、Reddit の情報がオンラインで公開／配布されたことを示唆する証拠もない」と記されている。

CyberSmart の CEO である Jamie Akhtar は、「今回の情報漏洩にようり、スタッフは最も貴重なセキュリティ資産であるという格言が、見事に体現された」と述べている。

Akhtar は Infosecurity に対するメールで、「Reddit は優れた技術的セキュリティ管理を実施していた、サイバー犯罪者はスタッフを標的にするだけで、その防御を突破した。従業員が直面する脅威の認識／理解には、トレーニングが有効である。そして、より重要なのは、脅威を回避する方法を学ぶことだ」と語っている。

データ・セキュリティ企業である comforte AG の、サイバー・セキュリティ専門家である Erfan Shadabi は、Akhtar の指摘に同意し、データ・セキュリティとプライバシーに関する文化は、トップダウンでサポートされる必要があると付け加えている。

彼は、「それに加えて、どんなに時間が必要であっても、機密データに対する要求を分析することが企業文化になれば、この常軌を逸したフィッシング攻撃の流れを変えられる」と述べている。

数ヶ月前に、セキュリティ企業の Cerby が、Reddit などのソーシャルメディアの脆弱性が偽情報につながるという、可能性を示唆する報告書を発表している。

老舗の Reddit ですが、Wikipedia によると、国別利用者は 米国 48.9％、英国 7.7％、カナダ 7.5％、オーストラリア 3.8％、ドイツ3.1％ とのことです。日本では、どれくらいのユーザーがいるかが分かりませんが、ソーシャルメディアを過信してはいけませんね。最近の、関連記事は以下のとおりです。

2023/01/30：Facebook／Instagram の 2FA バイパス
2023/01/05：WhatsApp がプロキシのサポートを開始
2022/12/16：SNS データ分析ツールから盗まれた PII
2022/10/27：企業が SNS を使うときの７つのリスク