Chainalysis、10月30日の侵入で顧客名とメール漏えいを公表

低感度の顧客情報に到達

ブロックチェーン分析企業のChainalysisは10月30日、外部の攻撃者が同社のシステムと内部ツールに不正アクセスし、低感度の顧客情報一式に到達したと公表した。公式の事故通知によれば、流出した項目は顧客のユーザーID、氏名、メールアドレス、そして各利用者が所属組織内で担う役割を示す情報である。同社はコンプライアンス部門や法執行機関が公開ブロックチェーン上の不正資金を追跡するために使う調査ソフトウェアを供給しており、クロスチェーンブリッジを経由して移動した資金の追跡もその対象に含まれる。顧客名簿の機密性が一般的なソフトウェア提供企業の域を大きく超えるのは、このためだ。

同社の説明では、侵入は10月中に検知された。攻撃手法は「攻撃的なエージェント技術」とされ、これはAIエージェントが計画から実行まで、従来はオペレーターが手作業でこなしていた工程を担う攻撃形態を指す。第三者のサイバーセキュリティ専門企業が支援に入っており、悪用された脆弱性の対処は調査と並行して進められている。Chainalysisは防御側でも大規模言語モデルを投入する構えで、今回の事案をAIを悪用したサイバー攻撃が業界全体で増加している流れの中に位置づけた。その上で、10月にも相次いだBinanceからの仮想通貨窃盗とは無関係であることを明示している。資金は奪われておらず、攻撃者も特定されていない。したがって今回の事案は資産窃盗ではなく情報アクセス型の侵害にとどまり、影響を受けたアカウント数もまだ公表されていない。

10月に集中した企業の漏えい

発表のタイミングは、個人情報漏えいが積み重なった1か月のまっただ中だった。10月の日本では大手企業での情報漏えいが続発した。佐川急便は最大約5,323万件、MUJIを運営する良品計画は最大約2,726万件、Source Nextは約2,252万件、カプコンは約1,177万件、日本バーガーキングは約1,118万件の記録が漏えいの影響を受けた可能性をそれぞれ報告している。米国でも同じ構図が確認された。Educational Testing Serviceはカリフォルニア州公立学校の生徒データを含む約700万人分の漏えいを報告し、旧Cernerの医療記録事業を抱えるOracle Healthは約2,000万人、心拍モニタリング機器メーカーのiRhythmは約818万人分に達した。小売りのRevolveは合計件数が確定していないが、テキサス州だけで約12.7万人が該当する。Quest Diagnosticsも患者情報の関与範囲をまだ確定できていない。

漏えいの見出し項目と同じくらい重要なのが、その裏側の確認結果だ。会社側の事後報告によれば、これまでの調査で捜査用のグラフやメモ、ケースファイル、取引やクエリの実行結果、さらに平文のパスワード、多要素認証の秘密情報、利用者のログイン状態を維持するセッショントークンへの不正アクセスは確認されていない。この区別は決定的だ。これらの項目は、攻撃者が進行中の捜査を読んだり、顧客アカウントにそのまま侵入したりするために必要な資産だからである。Chainalysisはすでに顧客全社へ通知を完了しており、アクセスされた記録の審査が終わり次第、影響を受けた利用者に直接連絡する計画だ。利用者には、見覚えのないパスワード再設定要求や認証プロンプトを警戒すること、二要素認証を有効にすることが求められている。

今回の事案の輪郭は、なぜ分析企業が攻撃対象になるのかを物語る。同種のプラットフォームには「誰が誰を捜査しているか」の地図が蓄積されており、ケースファイルまで到達される漏えいであれば捜査の優先順位そのものがさらけ出されていた。事後報告が示すのは、その一線は越えられなかったという事実だ。実際に流出した氏名とメールアドレスは、アカウント乗っ取りではなく標的型フィッシングの材料になる。乗っ取りには平文パスワード、多要素認証の秘密情報、セッショントークンのいずれかが必要で、審査ではいずれも手つかずと確認された。リプレイアタックよりも直接的に生きているセッションを偽装できる情報であり、それが漏れていないことには意味がある。外部のブロックチェーン分析提供企業に依存する顧客、Coinbase Globalのような取引所を含め、当面は連絡先データ流出という地味だが現実的な影響に向き合うことになる。AIという枠組みは両刃だ。侵入を実行したのと同じエージェント型の自動化が、いまや防御側でも動員されている。