Google の米国限定の電気通信およびモバイル インターネット サービスである Google Fi は、主要なネットワーク プロバイダーの 1 つでのデータ侵害によって個人データが公開されたことを顧客に通知し、一部の顧客は SIM スワッピング攻撃を許可したと警告しました。
Google は今週、Google Fi の顧客にデータ侵害の通知を送信し、このインシデントにより、電話番号、SIM カードのシリアル番号、アカウントのステータス (アクティブまたは非アクティブ)、アカウントの有効化日、およびモバイル サービス プランの詳細が漏洩したことを通知しました。
Google は、侵害されたシステムには氏名、電子メール アドレス、クレジット カード情報、SSN、納税者番号、政府 ID、アカウント パスワード、SMS や電話の内容などの機密情報は保持されていないことを明らかにしました。
「当社のインシデント対応チームは調査を行い、不正アクセスが発生したと判断し、主要なネットワーク プロバイダーと協力して、そのサード パーティ システム上のデータを保護し、影響を受ける可能性のあるすべての人に通知するための対策を特定して実施しました」 と顧客への通知を読みます。
「Google のシステムや Google が監督するシステムへのアクセスはありませんでした。」
ソース: @Dmite09
Google は侵害を受けた主要なネットワーク プロバイダーが誰であるかについて言及していませんが、T-Mobile を指していると考えられています。
T-Mobile は先月、2022 年 11 月に API データ侵害を受け、約3,700 万人の加入者の個人情報が流出したことを明らかにしました。
これが T-Mobile の侵害に関連しているかどうかを確認するよう Google に依頼しましたが、応答はありません。
SIM スワップ攻撃につながるデータ侵害
残念なことに、公開された SIM の技術データにより、攻撃者は一部の Google Fi 顧客に対して SIM スワップ攻撃を行うことができました。ある顧客は、ハッカーが Authy MFA アカウントへのアクセスを取得したと報告しています。
SIM スワッピング攻撃とは、攻撃者が携帯通信会社を説得して、顧客の電話番号を攻撃者の制御下にあるモバイル SIM カードに移植することです。
これらの攻撃はソーシャル エンジニアリングを使用して行われ、攻撃者は顧客になりすまして、何らかの理由で番号を新しいデバイスに移植するよう要求します。携帯電話会社は、自分が顧客であることを納得させるために、フィッシング攻撃やデータ侵害にさらされている個人情報を提供します。
Google Fi のデータ侵害には、顧客の名前と簡単に結び付けられる電話番号と SIM カードのシリアル番号が含まれているため、モバイル カスタマー サポートの担当者に連絡すると、さらに説得力が増したでしょう。
番号が移植されると、攻撃者は被害者のテキスト メッセージ (MFA コードを含む) にアクセスできるようになり、オンライン アカウントを侵害したり、個人の電話番号によって保護されたサービスを乗っ取ったりすることができます。
Google は、SIM スワップ攻撃の影響を受けた顧客に別の通知を送信し、攻撃者が自分の番号を別の SIM に短時間移植したことを明らかにしました。ただし、ユーザーのボイスメールは侵害されませんでした。
SIM スワッピング攻撃に苦しんだある顧客は、Reddit での経験を共有し、電子メール、金融、および Authy 認証アプリのアカウントがリアルタイムで乗っ取られるのを目撃したと述べています。
「ハッカーはこれを使用して、私のオンライン アカウントのうち 3 つを乗っ取りました。主要な電子メール、金融口座、Authy 認証アプリです。これらはすべて、私の SMS を受信し、SMS ベースの 2-fac を打ち負かすことができたからです」 と説明しました。 Google Fi のお客様。
2 要素認証アプリがハイジャックされると、特に電話番号を使用して登録された場合、ハッカーが他のアカウントを侵害することがはるかに容易になります。
Google Fi に通知してそれを阻止しようとしたにもかかわらず、カスタマー サポートから無視されたと彼は言います。
Comments