Affinity のフォーラムでデータ侵害が発生：管理者アカウントが侵入経路

Creative Software Maker Affinity Informs Customers of Forum Breach

2023/04/18 SecurityWeek — クリエイティブ・ソフトのメーカーである Affinity でデータ侵害が発生した。同社によると、脅威アクターは管理者のアカウントを侵害し、フォーラムのユーザーデータにアクセスしたとのことだ。不正アクセスを受けた可能性がある情報として挙げられるのは、ユーザー名／評判／参加日／投稿数／Eメール／最後に使用した IP アドレスなどである。

侵害された情報の大部分は、公開されているフォーラム・プロフィールに含まれるものだが、メールアドレスと IP アドレスは非公開の情報だ。この種の情報は、脅威アクターによる標的型フィッシング攻撃に悪用される可能性がある。Affinity は、フォーラムのユーザーに対して、フィッシングの危険性について警告している。

何人分のユーザーデータが流出したのかは不明だが、Affinity のフォーラムには、約 175,000 人のメンバーがいる。Affinity を運営する Serif は、今回の情報漏洩において、ユーザーのパスワードは漏洩していないとしている。

同社は、「不正アクセスされた情報には、ユーザーの Affinity アカウント／Affinity ID 内にある、会計データ／購入履歴／住所／電話番号などは一切含まれていないので、安心してほしい。このフォーラムは、ユーザーの Affinity アカウントから独立した、まったく別のシステムだ」と付け加えている。

Affinity フォーラムのデータ漏洩は、英国の ICO (Information Commissioner’s Office) に報告され、このようなインシデントを防ぐための措置が、今後はとられていくとのことだ。

管理者アカウントが、どのように漏洩したのかは不明だが、この種のインシデントの多くでは、二要素認証が使用されておらず、アカウントのハッキングが可能な状態となっている。

Affinity のサービスはクリエーターを対象とするもので、Adobe と同じマーケットを目指しているみたいです。そのフォーラムが侵害され、登録ユーザーの部分的な個人情報が盗まれたようです。そこまでの、気密性の高い情報は含まれていなかったようですが、メアドが漏れるとフィッシングの標的にされます。そして、Affinity をなりすますことも可能であるため、その成功率も高くなるかもしれません。いまの時代、アカウントとアプリを増やさないというのが、一番安全なのかもしれません。