データ侵害通知サービスHave I Been Pwnedによると、ShinyHunters恐喝団は4月にオンライン動画プラットフォームVimeoをハッキングし、11万9000人以上の個人情報を盗んだ。
Vimeoはナスダック株式市場に上場している動画ホスティング・ストリーミング・プラットフォームで、3億人以上の登録ユーザーと1100人以上の従業員を抱え、2024年度の売上高は4億1700万ドルと報告されている。
同社は4月27日、データ異常検知会社のAnodot社で最近発生した情報漏えい事件で、顧客とユーザーのデータが不正アクセスされたことを明らかにした。
「初期の調査結果によると、アクセスされたデータベースには主に技術データ、ビデオタイトル、メタデータが含まれており、場合によっては顧客の電子メールアドレスも含まれていた。
しかし同社は、この攻撃による混乱はなく、脅威者は影響を受けた個人の認証情報や財務情報にはアクセスしなかったと述べている。Vimeoはまた、侵害を検出した後、すべてのAnodot認証情報を無効にし、攻撃者のアクセスを遮断するために、同社のシステムとのAnodot統合を削除した。
「アクセスされたデータには、Vimeoのビデオコンテンツ、有効なユーザーログイン認証情報、支払いカード情報は含まれていません。Vimeoのユーザーと顧客のログイン認証情報は安全です。このインシデントによって、当社のシステムやサービスが中断されることはありませんでした。「この事件を知り、当社は速やかにすべてのAnodot認証情報を無効にし、VimeoシステムとのAnodot統合を削除し、調査を支援するために第三者のセキュリティ専門家に依頼しました。また、法執行機関にも通知しました。”
Vimeoの情報公開後、サイバー犯罪グループ “ShinyHunters “は、同社への恐喝に失敗した後、ダークウェブのデータ流出サイトに、盗まれた文書の106GBのアーカイブを流出させた。
“あなたのSnowflakeとBigqueryインスタンスのデータは、Anodot.comのおかげで危険にさらされました。”同社は、私たちの信じられないほどの忍耐、すべてのチャンスとオファーを行ったにもかかわらず、私たちと合意に達することができませんでした。”
Vimeoはこの事件で情報を盗まれた個人の総数をまだ公表していないが、データ流出通知サービスのHave I Been Pwnedは盗まれたデータを分析し、今回の流出で11万9200人のメールアドレスと（場合によっては）名前が流出したと報告した。
以前、このサイバー犯罪グループは、Anodot認証トークンを使用した数十の企業からデータを盗んだと伝えていた。ShinyHuntersはまた、セールスフォースのインスタンスからデータを盗もうとしたことを確認したが、AIベースの検知によってブロックされたと述べた。
ShinyHuntersは、従業員やビジネス・プロセス・アウトソーシング（BPO）エージェントのMicrosoft Entra、Okta、Google SSOアカウントを標的とした広範なビッシング・キャンペーンにも関連している。
企業のSSOアカウントに侵入した後、Salesforce、SAP、Slack、Adobe、Atlassian、Zendesk、Dropbox、Microsoft 365、Google Workspaceなどの接続されたSaaSアプリケーションからデータを盗む。
ShinyHuntersがここ数週間で主張した他の侵害には、欧州委員会、Rockstar Games、Edtech大手のMcGraw Hill、さらに最近では、医療機器メーカーのMedtronic、クルーズライン運営会社のCarnival、ファストファッション小売業者のZara、コンビニエンスストアチェーンのセブンイレブン、オンライントレーニング会社のUdemyなどが含まれる。
.article-callout { background-color：#width: 95%; max-width: 800px; margin: 15px auto; border-radius: 8px; border：1px solid #d6ddee; display: flex; align-items: stretch; overflow: hidden; } .article-media { flex: 1; max-width: 220px; display: flex; } .article-media a { display: flex; width: 100%; height: 100%; } .article-media img { width: 100%; height: 100%; border-radius: 8px 0 0 8px; display: block; } .article-callout .article-media img { margin-top: 0 !important; height: 100% !important; } .article-body { flex: 2; padding：display: flex; flex-direction: column; justify-content: center; } .article-body h2 { font-size: 17px !important; font-weight: 700; color：#line-height: 1.4; font-family：margin: 0 0 14px 0; } .article-body p { font-weight: bold; font-size: 14px; margin: 0 0 clamp(6px, 2vw, 14px) 0; } .article-link { background-color：#border：color: black; text-align: center; text-decoration: none; border-radius: 8px; display: inline-block; font-size: 16px; font-weight: bold; padding：10px 20px; width: fit-content; } @media (max-width: 600px) { .article-callout { flex-direction: column; align-items: center; } .article-media { max-width: 100%; } .article-media img { border-radius: 8px 8px 0 0; } .article-body { padding：.article-body { padding: 15px; width: 100%; } .article-link { width: 100%; margin: 0 auto; box-sizing: border-box; } } .
Mythosが発見した問題の99%はまだ未パッチである。
AIは4つのゼロデイを1つのエクスプロイトに連鎖させ、レンダラーとOSのサンドボックスの両方をバイパスした。新たなエクスプロイトの波が押し寄せている。
自律的検証サミット（5月12日、14日）では、自律的でコンテキストに富んだ検証がどのように悪用可能なものを見つけ、コントロールが有効であることを証明し、修復のループを閉じるかをご覧ください。
Comments