海外における個人情報流出事件とその対応 第229回 狙われる給与業務委託(2)「カネがある」給与業務が新たなターゲット | ScanNetSecurity[国内最大級のサイバーセキュリティ専門ポータルサイト]
2017.12.13(水)

海外における個人情報流出事件とその対応 第229回 狙われる給与業務委託(2)「カネがある」給与業務が新たなターゲット

国際 海外情報

●給与業務はハッカーの新しいターゲット
最近、中小企業のビジネスバンキングが、ハッカーに攻撃されることが増えているのは、多くのセキュリティ企業が指摘してきた。業務における業者への支払いなどで、オンラインバンキングを使用するが、マルウェアに感染したシステムから、犯罪者宛てに不正送金が行われるというものだ。

しかし、McMillanは、給与支払い処理の会社や、そのシステムが、新たに危険に晒されているという考えだ。記事の中で、「コンピュータにハッキングして、不正な銀行送金を行うことで、数百万ドルを盗もうとする犯罪者が新しいターゲットを見つけたかもしれない」と書いている。

そして1930年代、大恐慌時代に“活躍”した伝説的な銀行強盗ウィリー・サットンの言葉、「(銀行を狙ったのは、)そこにカネがあるから」を引用して、サットンが現在、生きていたら、他にも選択肢があっただろうとしている。選択肢の一つが、給与業務システムや、業務のアウトソーシングを提供する会社だ。オンラインバンキングシステムと同様、支払いに用いられることから、「カネがある」と犯罪者がみなしているようだという。調べてみると、McMillanの言うとおり、確かに給与業務の会社で数件の事件が報告されている。

たとえば、漏えい件数、1億3000万件と、2008年に世間を騒がせた、史上最悪規模の事件があったHeartland Payment Systemsだ。『Privacy Law Blog』においてScott J. Carpenterが、2007年12月に、まず給与支払いシステムのネットワークが攻撃を受けたとしている。そこから、被害が広がったようだが、あまりにも大規模な漏えい事件となったため、最初の給与支払いネットワークへの攻撃は大きく取り上げられなかった。

ほかにも2009年9月には、給与支払い処理サービスの米国最大手、PayChoiceの顧客が、攻撃を受けた。まず、PayChoice顧客が、ウェブブラウザプラグインをダウンロードするよう求めるe-mailを受信した。これは、ユーザ名やパスワードを盗み出そうとするものだった。さらに問題視されたのは、e-mailにそれぞれの顧客名が表示されていたこと、それから、PayChoiceにおけるサービス、onlineemployer.comのユーザ名と、サイトへのパスワードの一部も含まれていたためだ。すなわち、犯人は、PayChoiceの顧客の情報にアクセスしていたと考えられた。

続いて約2週間後には、給与支払い対象が不正に改ざんされて、無関係の社員4人が勝手に加えられていた。幸いにも、支払い前に明らかになったが、気付かなければ、不正アカウントに、“給与”が支払われるところだった。

また、今回問題になっている、Ceridianでも、去る2月にハッカーが2万7000人分の情報を盗み出していたことが明らかになっている。今回とは異なり、Ceridianのソフトウェアに問題があった。

Ceridianの発表では、2009年12月22日から23日の間に、何者かが、同社システムにハッキングして、1900社から2万7000人の情報を盗み出した。ハッカーが不正に獲得したのは、これら被害者全員の氏名と社会保険番号、一部については生年月日や銀行口座番号だ。

事件を報じた2月5日付けの『Star Tribune』によると、被害者の一人、Todd AshtonはCeridianを使用していた会社を10年ほど前に退職していた。しかし、ソフトウェア上の問題により、

※本記事は有料購読会員に全文を配信しました

(バンクーバー新報 西川桂子)
《ScanNetSecurity》

Scan PREMIUM 会員限定記事

もっと見る

Scan PREMIUM 会員限定記事特集をもっと見る

Scan BASIC 会員限定記事

もっと見る

Scan BASIC 会員限定記事特集をもっと見る

[Web小説] サイバー探偵 工藤伸治の事件簿サーガ (シーズン 1~6 第1話)

もっと見る

[Web小説] サイバー探偵 工藤伸治の事件簿サーガ (シーズン 1~6 第1話)特集をもっと見る

カテゴリ別新着記事

国際 カテゴリの人気記事 MONTHLY ランキング

  1. 死亡した男性のメールアカウントを巡るヤフーと裁判所の争い(The Register)

    死亡した男性のメールアカウントを巡るヤフーと裁判所の争い(The Register)

  2. どこかへ跳んでいけ、出来の悪いラビット(The Register)

    どこかへ跳んでいけ、出来の悪いラビット(The Register)

  3. 米軍のSNSに対する膨大なスパイアーカイブ、AWS で数十テラ閲覧可(The Register)

    米軍のSNSに対する膨大なスパイアーカイブ、AWS で数十テラ閲覧可(The Register)

  4. 捜査中だった米大統領選に使用されたサーバのデータが消失(The Register)

  5. 「Tor 禁止令」を解く Facebook、暗号化の onion アクセスポイントを宣伝~これからは暗号化通信も完全に OK(The Register)

  6. インドのレジストリで情報漏えい、インドのネットを壊滅させるデータのビットコイン価格とは(The Register)

  7. WPA2の新たな脆弱性への攻撃KRACK、暗号化技術の根底にある欠陥(The Register)

  8. Anonymousが幼児虐待の秘密の拠点を閉鎖~Tor小児愛者を攻撃し氏名を暴露(The Register)

  9. スバルのキー・フォブに脆弱性あり、オランダ人技術者語る(The Register)

  10. Mac OS X のシングルユーザモードの root アクセス(2)

全カテゴリランキング

★★Scan PREMIUM 会員限定コンテンツにフルアクセスが可能となります★★
<b>★★Scan PREMIUM 会員限定コンテンツにフルアクセスが可能となります★★</b>

経営課題としてサイバーセキュリティに取り組む情報システム部門や、研究・開発・経営企画に携わる方へ向けた、創刊19年のセキュリティ情報サービス Scan PREMIUM を、貴社の事業リスク低減のためにご活用ください。

×