要点
・流出した顧客情報が現在、ビットコインとモネロのみを受け付け、ダークウエブ上で売買されていたことが判明。影響を受ける顧客は当初発表の1,000万人をはるかに超える数億人に上るとみられています。
MGMリゾート利用客の情報がダークウエブで販売される
ホスピタリティとエンターテインメント業界で世界を代表する統合型リゾートを展開するMGMリゾーツ・インターナショナル、2019年にハッキング被害に遭っていたことを、当時ZDNetが報じていました。当初メディアでは、MGM系リゾートホテルに宿泊していた顧客の住所・氏名・年齢・電話番号などの個人情報がハッキング被害に遭ったことを報じていました。流出した個人情報は、ハッキングフォーラムで公開され、10,683,188人分の顧客が影響を受けたと推定されていました。
しかし、この事件に関しての被害は氷山の一角であり、流出した個人情報がダークウエブ上で売買されていたことが今週発覚しました。当初の被害人数は1千万人を少し超えた程度と発表されていましたが、実際には数億人に上るとみられており、当初の発表より10倍以上の利用客らが影響を受けるとみられています。
Scoop: MGM 2019 data breach is much larger than initially reported
Breach impacted 142 million hotel guests, not 10.6 million (possible more, but unconfirmed)https://t.co/bFnNzwFShS pic.twitter.com/pOhtUaw0kz
— Catalin Cimpanu (@campuscodi) July 14, 2020
https://platform.twitter.com/widgets.js
ダークウエブの広告によると、流出した顧客情報の一部は2,939ドルで取引価格が表示されており、支払いはビットコインまたはプライバシーコインのモネロのみ受け付けるとされているという。
販売されているデータは、ハッカーが情報を入手する方法も開示しており、広告にはハッカーがMGMのデータ漏洩監視サービスであるDataViperを悪用したことも記載されているとのこと。ただし、DataViperの代表者らはZDNetの取材に対し、MGMから流出した顧客情報データの完全なコピーを保持することは決してないと主張しているという。
Got a 20 million sample of the data from the seller.
A lot of it is just the hotel guest's name, so not all 142 million users had full details exposed (such as DOBs, home addresses, emails, phone numbers). pic.twitter.com/ilg7MZZVEh
— Catalin Cimpanu (@campuscodi) July 14, 2020
https://platform.twitter.com/widgets.js
ZDNetが取得した2000万人のデータのサンプルによると、多くのゲストは、他の個人情報や財務情報ではなく、名前だけを公開していたことが分かっています。
この事件は、集中型データベースの危険性と分散化の必要性を浮き彫りにしており、中央配置されたサーバーに機密データが保持されることが多すぎるため、ハッカーが侵入するための単一の障害が発生しているという。これらとは対照的に、分散化は複数のサーバー間でデータを断片化し、悪意のある人物が貴重な情報を手に入れることを実行不可能にし、さらに困難にするのに有効であることが分かっています。
なお、MGMリゾートの顧客情報流出に関しては、以前の漏洩分に関する損害補償はすでに行われているとのこと。
顧客への正確性を確認済み
(画像引用先 Twitter Catalin Cimpanu)
ZDNetは、情報流出発覚後、利用客らにコンタクトを取り、ホテルへの滞在の有無、タイムライン、および漏洩したファイルに含まれるデータの正確性などの確認を実施。対象者は海外旅行客から技術会議に出席する記者、ビジネス会議に出席するCEO、ラスベガス旅行の政府関係者など、さまざまな客層だったと当時報じられていました。
ZDNet側が利用客とコンタクトを取り、流出下内容の正確性などの確認後、MGM側にも確認と取り、連絡してから1時間未満でホテルチェーンのセキュリティチームと電話会議を実施したことが報告されたと報じています。さらに、数時間以内に、MGMリゾートチームによるデータ検証が実行され、過去のセキュリティインシデントまで追跡したとのこと。
この件に関してMGM側は、財務、支払いカード、パスワードのデータは一切関与していなかったと明言しています。
