ディズニー、7月の大規模データ流出でSlackを捨てる

ウォルト・ディズニー・カンパニーは、7月のデータ流出事件で社内のコミュニケーション・チャンネルに投稿された1TB以上の機密メッセージやファイルが流出したことを受け、Slackを廃止すると報じられている。

CNBCによると、ディズニーはすでに新しい「合理化された全社的なコラボレーション・ツール」への移行を始めており、今週従業員に電子メールを送り、次の会計四半期末には移行を完了すると伝えた。

この動きは、同社が7月に「NullBulge」という名の脅威行為者がディズニーのSlackプラットフォームに侵入し、1.1TBのデータを盗み出すという大規模なデータ侵害に見舞われたことを受けてのものだ。

この脅威者は、今後のプロジェクトの詳細、財務情報、情報技術情報、その他の機密情報を含む約1万件のSlackチャンネルからすべてのメッセージとファイルを盗んだと主張した。

ディズニーは1ヶ月前にも、同社のConfluenceサーバーから2.5GBのClub Penguinと企業データが4chan掲示板に流出し、データ漏洩に見舞われている。

Slackから移行した後、従業員がどのようにコミュニケーションを取るのか、またディズニーがMicrosoft Teamsのような別の企業向けプラットフォームに移行するのか、それとも独自の社内ソフトウェアに移行するのかは不明だ。

Slackのようなコミュニケーション・プラットフォームは、脅威行為者にとって、被害者を愚弄するために使用できる機密ファイルを盗む魅力的なターゲットになり得る。

2022年、ハッキンググループ「Lapsus$」は、従業員の盗んだ認証情報を使ってUberのSlackサーバーに侵入し、侵入された経緯について従業員を愚弄しました。

2023年8月には、脅威行為者がActivisionのSlackサーバーに侵入し、従業員データと今後のゲームに関する情報を盗み出しました。