3000万人分の顧客データ窃取：Anonymous Sudan は主張し Microsoft は否定する

Microsoft denies data breach, theft of 30 million customer accounts

2023/07/03 BleepingComputer — Microsoft は否定しているが、ハクティビストである Anonymous Sudan は、同社のサーバに侵入して 3000万人分の顧客アカウントの、認証情報を盗んだと主張している。ここ数カ月間において Anonymous Sudan は、欧米の組織に対する分散型サービス妨害 (DDoS) 攻撃で目立っている。同グループは、Killnet のような親ロシア派ハクティビストとの関連性を認めている。

６月の初旬に Azure／Outlook／OneDrive などの、いくつかのサービスに影響を与えたサービスの中断と停止が、Anonymous Sudan に起因するものであることを、Microsoft は認めている。

7月2日に Anonymous Sudan は、「Microsoft のハッキングに成功し、3,000万以上の Microsoft のアカウント／Ｅメール／パスワードなどを含む大規模なデータベースにアクセスした」と発表した。Anonymous Sudan は、このデータベースを $50,000 で販売すると提示し、データの購入に興味のある買い手に対して、Telegram bot と連絡を取るよう呼びかけた。

この投稿には、情報漏洩の証拠として Microsoft から盗み出したとするデータのサンプルが掲載されているが、Microsoft の対応については、この主張を否定するだろうと記されている。

同グループは 100組の機密情報を提示したが、その出所は確認できなかった (それらのデータは古く、サードパーティ・サービス・プロバイダーへの侵害の結果として、Microsoft のシステムから盗まれたものだった) 。

BleepingComputer は、Anonymous Sudan の発言の信ぴょう性について Microsoft にコメントを求めたところ、同社の広報担当者はデータ侵害の主張を全面的に否定した。

Microsoft の広報担当者は、「データを分析した結果、現時点では、根拠のない主張であることが判明した。我々の顧客データへのアクセスや、危険にさらされたという形跡はない」とコメントしている。

Microsoft の調査が完了したのか、それとも、現在進行中なのかは現時点では不明だ。また、データが公開される可能性に対しては、同社の回答は得られていない。

2023年6月に登場した Anonymous Sudan は、Microsoft を標的と定めているようであり、その巧みな DDoS 攻撃により同社を悩ませてきました。しかし、今回の 3000万人分の顧客データ窃取という話は、初めて聞くものであり、Anonymous Sudan と Microsoft の主張が、真っ向からぶつかっています。

2023/06/18：Azure／Outlook／OneDrive へのDDoS 攻撃：MS が認める
2023/06/09：Microsoft Azure ポータルが DDoS 攻撃でダウン
2023/06/06：Outlook.com を攻撃し続ける DDoS アクター