SEIKO で発生した BlackCat データ侵害：60,000件の機密情報が流出と判明

Seiko “BlackCat” Data Breach: 60,000 Records on the Line

2023/10/25 InfoSecurity — Seiko Group Corporation (SGC) は、8月に発生したデータ漏洩につて、その範囲を公表した。同社の最新の通知は、60,000 件のレコードのセキュリティに重点を置いたものになっている。同社の Web サイトに、2023年8月10日の時点で公表されたデータ漏洩の通知は、7月28日に検知された不正アクセスに起因するものであり、ランサムウェア・グループ BlackCat がデータ漏洩サイトに、SEIKO をリストアップしたことを受けてのものである。なお、このインシデントは、個人情報保護委員会と警視庁に報告されたという。

SEIKO の 10月25日の通知には、「Seiko Group Corporation (SGC)／ Seiko Group Corporation (SWC)／Seiko Instruments Inc. (SII) が保有する個人情報のうち、合計で約 60,000万件が不正アクセスを受けたことを確認した」と記されている。

影響を受けた情報は以下の通りだ：

• SWC の顧客データ
• 取引相手の連絡先情報
• SGC／SWC の採用応募者情報
• SGC／グループ企業の現従業員および元従業員の人事情報

My1Login の CEO である Mike Newman は、「SEIKO の規模を考えると、BlackCat は僅か 60,000件のデータを漏洩させただけであり、同社への影響は軽く済んだと言う人もいるかもしれない。しかし、この脅威アクターが顧客／従業員／求職者の機密データを保有しているということは、これらの被害者をターゲットにする、フィッシング詐欺を仕掛ける可能性があるということだ」とコメントしている。

特筆すべきは、クレジットカード情報が安全だった点だ。同社は、外部サーバーとの通信の遮断／EDR システムの導入／多要素認証 (MFA) の導入などにより、セキュリティを強化している。今後は、サイバー・セキュリティの専門家と協力して脆弱性を評価し、システムのセキュリティを向上させ、第三者評価などの対策を通じて将来のインシデントを防止する計画だという。

SEIKO は、「当社のデータ・サーバに対する今回の攻撃により、ご迷惑をかけた。また、今後における懸念についてもお詫びしたい。影響を受けた各関係者には個別に連絡を取り始めており、さらなる流出が発見された場合は、可能な限り、影響を受けた各関係者に個別に対応を続ける」とコメントしている。

この SEIKO のインシデントに関しては、2023/08/21 の「SEIKO がハッキングされた：犯行を主張する BlackCat がサンプル・データを公開」が、第一報となります。今日の記事を読んでも、まだまだ続報がありそうとも思えてきてしまいます。このブログにも、今年は日本の大手企業の名前が多く登場しています。よろしければ、Japan で検索も、ご利用ください。