Crunchyrollのデータ漏洩：何が起こったのか、そしてユーザーにとってどのようなリスクがあるのか

人気のプラットフォーム アニメ配信サービスCrunchyrollソニー傘下の企業が、 顧客の機密情報が漏洩したとされるサイバー攻撃さまざまなメディアやサイバーセキュリティアナリストは、 大規模なデータ漏洩 この事実が確認されれば、スペインをはじめとするヨーロッパ諸国など、サービス提供地域にあるほぼすべての国のユーザーに影響が及ぶことになる。

これまでに分かっていることは 専門ニュースレターからの調査 International Cyber​​ Digest、Cyber​​ Digest、Hackmanac、Thecybersecguruなどのメディア、そして脅威アクター自身がソーシャルメディアやフォーラムに投稿したメッセージなど、すべてが同じシナリオを示唆している。 報道によると、何者かがCrunchyrollアカウントに関連する約100GBの情報を入手することに成功したという。連絡先情報、技術的な詳細、支払い方法に関する情報を含みます。

サプライチェーン攻撃：弱点、外部サプライヤー

証拠は、攻撃者がCrunchyrollのメインサーバーに直接侵入したのではなく、 外部サービスプロバイダー、Telus Digitalバンクーバーに拠点を置き、インドで強力な事業展開を行っているアウトソーシング企業。この種のインシデントは「サプライチェーン攻撃」として知られており、主要な標的ではなく、特権アクセスを持つパートナーが侵害される。

報道によると、この事件は 3月12日Telusの従業員が誤って自分のコンピューターで悪意のあるソフトウェアを実行したとき。一部のバージョンでは、その始まりはキャンペーンだったと詳述されている。 情報窃盗型マルウェアをインストールするフィッシング侵害されたワークステーションから認証情報やその他の機密情報を盗み出す能力を持つ。

そのソフトウェアが稼働したことで、攻撃者は Oktaのログイン認証情報企業環境で使用されているID管理プラットフォーム。これらの鍵は、カスタマーサービスやCrunchyrollをサポートする管理パネルに関連する内部システムへの扉を開き、侵入者がネットワーク内を横断的に移動して、ユーザーデータが保存および処理されるツールに到達することを可能にするものだった。

流出したデータ量はどれくらいで、どのような種類の情報が含まれていますか？

すべての情報源で繰り返されている数字は同じです。脅威アクターはシステムからいくつかの情報を抽出したと主張しています。 100GBの機密データ Crunchyrollアカウントに関連する情報です。Cyber​​ Digestなどのメディアは、ファイルのサンプルを検証した結果、加入者に関連する様々な種類の個人情報や技術情報が存在することを確認できたと報じています。

その資料には、とりわけ以下のものが含まれる。 メールアドレスとIPアドレス ユーザー間の接続情報に加え、プラットフォーム内での行動に関する情報（アカウント履歴、購読詳細、プランレベル、利用状況分析など）も含まれます。多くのクライアントにとって、これらの情報を組み合わせることで、ユーザーの詳細なプロファイルを作成することが可能です。 アニメとマンガの消費習慣.

最もデリケートな側面の1つは、 クレジットカード情報ここで、説明は若干異なっている。一部の情報源は「クレジットカード情報」を一般的な用語で述べているが、他の情報源はアクセスが制限されていたことを具体的に述べている。 インシデントログには部分的な詳細情報が記載されている また、完全な数値が保存されている暗号化されたデータベースを直接侵害することなく、領収書のキャプチャも行います。

その区別は重要である。攻撃者が サポートチケットに表示される番号またはデータの断片カードを直接利用する場合のリスクは低いものの、皆無ではありません。いずれにせよ、専門家は、この情報が他の個人データと組み合わさることで、詐欺行為、金融機関へのなりすまし認証、標的型フィッシング攻撃を助長する可能性があると警告しています。

地理的影響：米国以外

当初、脅威アクター自身からのメッセージは主に アメリカ合衆国のユーザーしかし、サンプルファイルの詳細な分析により、はるかに広範囲に及ぶことが明らかになった。調査対象となったファイルには、メキシコ、ブラジル、インドなどの国からのアカウントが含まれており、情報漏洩はより広い地域に影響を与えた可能性があると推測される。 これはスペインを含むヨーロッパの顧客にも影響を与えるだろう。Crunchyrollの加入者層がグローバルな性質を持っていることを考えると、これは当然のことです。

様々なアナリストが説明するように、問題はさらに複雑化している。 サポートツールと分析システム 複数の地域からのユーザーを管理する集中型システムであるため、国別に区分されたデータベースではなく、異なる市場のプロファイルが混在したデータセットとなり、盗まれた情報の各ブロックによって誰が影響を受けているかを迅速に特定することが困難になる。

24時間の猶予があったにもかかわらず、大規模な窃盗を防ぐことはできなかった。

攻撃の責任者は次のように主張している。 彼らは約24時間自由に動き回ることができた リモートアクセスが遮断される前に、内部ネットワークを経由して不正アクセスが行われていた。その時点で、セキュリティチームは異常な活動を検知し、侵害された認証情報を取り消し、影響を受けたシステムを社内ネットワークから切断して侵入を封じ込めていたはずだ。

一日というのは短い時間のように思えるかもしれないが、参照した情報源は、 脱出は非常によく準備されていたあらゆる状況から判断すると、攻撃者はその差額を最大限に活用するために情報収集を自動化し、顧客サービスチケットツールや行動分析ダッシュボードなど、ユーザー情報が集中しているリポジトリやプラットフォームにマルウェアを誘導していたことがわかる。

この種の操作は高度に自動化されており、数時間で 大量の構造化データをコピーするデータは表、カテゴリ、またはユーザー識別子によって整理されているため、その後の不正利用やアンダーグラウンドフォーラムでの販売が容易になっている。比較的迅速な対応にもかかわらず、盗まれたデータ量が非常に多いのはそのためである。

Telusからの過去のリークやShinyHuntersの影との関連性の可能性

一部の報道はこの事件を Telus Digitalに影響を及ぼしたであろう、より大規模なデータ漏洩 ほぼ同時期に、このカナダのプロバイダーは、顧客サービス、AI処理、コンテンツモデレーションを外部委託している企業を標的とした複数の攻撃において、共通の標的として浮上した。

一方、複数のサイバーセキュリティ情報源は、この攻撃はグループによるものだと断定している。 シャイニーハンターズ2020年から活動しているサイバー犯罪組織で、テクノロジー企業、航空会社、高級ブランドグループに対する大規模なデータ侵害で知られている。ダークウェブのフォーラムでは、このグループはCrunchyrollのデータだけでなく、他にも… Telus社内の膨大な量の情報これには、コールセンターの録音やその他の企業顧客からの記録も含まれます。

この事件間の可能性のある関連性は、 テルスの経営環境は、しばらく前からプレッシャーにさらされている。これは、ここ数ヶ月で様々な情報源がすでに指摘していたことだ。Crunchyrollのようにユーザー対応の一部を第三者に委託しているプラ​​ットフォームにとって、この状況は責任と規制遵守の面で複雑な問題を抱えている。特に、欧州連合のような厳格なデータ保護規制のある地域ではなおさらだ。

Crunchyrollからの公式な沈黙と、各国における法的疑念

最も印象的な要素の1つは、発生する騒音にもかかわらず、 クランチロールはまだ公式声明を発表していません。 漏洩した詳細情報を確認、明確化、または否定するため。脅威アクター自身の証言によると、同社は彼の連絡の試みを無視し、その際、彼は情報と引き換えに金銭的な脅迫を行うことさえ検討したという。

一方、テクノロジーおよびサイバーセキュリティ関連のメディアは、漏洩が説明どおりに確認された場合、 法的期限を過ぎてしまった可能性があります。 各国のユーザーや当局への通知について。例えば、EUでは、一般データ保護規則（GDPR）が個人情報に影響を与えるインシデントが発生した場合の迅速な連絡に関する明確な義務を定めており、これはスペインなどの国内法でも想定されている。

一部のアナリストは、 これはCrunchyrollにとってデータ処理に関する初めての問題ではないだろう。年初、同社は適切な同意なしに視聴習慣を第三者のマーケティングプラットフォームと共有したとして、集団訴訟に巻き込まれた。今回の顧客情報の大量漏洩の可能性に関する疑惑は、まさに危機的な時期にブランドの評判をさらに傷つけるものとなるだろう。

ユーザーへのリスク：金融詐欺を目的としたフィッシング攻撃

専門家は、暗号化されていないカード番号が完全に漏洩していなくても、 メールアドレス、氏名、IPアドレス、および活動履歴 これにより、影響を受けたユーザーに対する様々な種類の攻撃の可能性が開かれる。最も予測しやすいのは、プラットフォームからの公式な連絡を模倣した不正メールの蔓延である。

実際のアカウントデータ（年齢、購読タイプ、国、さらには過去のインシデント）を入手すれば、攻撃者は設計することができます。 高度にカスタマイズされたフィッシングキャンペーン 料金変更の通知、支払いに関する問題、データ確認の依頼、セキュリティインシデントに関するメッセージなど、より信憑性の高いものが多い。これらはすべて、被害者を騙して悪意のあるリンクをクリックさせたり、ログイン情報を入力させたりすることを目的としている。

さらに、潜在的な暴露は クレジットカード情報の一部他の個人データと組み合わせると、金融詐欺の試みのリスクが高まります。 不正な購入カスタマーサービス担当者になりすます行為、または過去の情報漏洩で入手した情報を用いて不足しているデータを補完しようとする行為。

これに加えて、目に見えにくいが同様に重要な影響として、行動プロファイルの作成があります。 中期的な社会工学キャンペーンユーザーがメールアドレスやパスワードを再利用できる他のプラットフォームへの攻撃にデータを使用したり、異なる種類の詐欺を専門とする他の犯罪グループに情報を転売したりすること。

Crunchyrollのユーザーは、自身を守るためにどのような対策を講じることができますか？

プラットフォーム自体からの公式ガイドがない場合、セキュリティ専門家は一連の手順に従うことを推奨します。 基本的なデジタル自己防衛対策 これらは、事件そのものを消し去るものではないものの、各ユーザーへの潜在的な影響を軽減するのに役立つ。

まず、認証情報に基づいて行動します。 Crunchyrollのパスワードをすぐに変更してください。 また、他のサービスで同じパスワードを使用することは避けてください。メール、ソーシャルメディア、オンラインバンキング、その他のサブスクリプションなどで同じパスワードを使用している場合は、それらのログイン情報も更新することをお勧めします。攻撃者は、異なるプラットフォーム間で複数の組み合わせを試すことが多いためです。

同時に、専門家は次のように推奨しています。 二段階認証（2FA）を有効にする 可能な限りそうしてください。このシステムは、通常は携帯電話に送信される、またはアプリで生成される一時的なコードという2つ目の障壁を追加するため、たとえ第三者がパスワードを入手したとしても、アカウントにアクセスすることがはるかに困難になります。

財政面に関しては、スペインでもヨーロッパの他の地域でも、 銀行口座の取引を注意深く監視する Crunchyrollの支払いに使用されたカードに関連付けられています。事件発生後数週間は、通常よりも頻繁に明細書を確認し、不審な請求に気づいた場合は、すぐに銀行に連絡してカードを停止し、クレームを申し立てることをお勧めします。

もう一つの重要な点は、メール管理です。今回の攻撃でメールアドレスやアカウントデータが流出したとすれば、それらが拡散される可能性が高いでしょう。 Crunchyrollからのメッセージと思われるもの または関連金融機関から。個人情報を要求するメールや、アカウントを「確認」するためにリンクをクリックするよう求めるメールを受け取った場合は、それを無視して、ブラウザにアドレスを入力してプラットフォームまたは銀行に直接アクセスするのが最も安全な方法です。

最後に、特に慎重なユーザーであれば プラットフォームからクレジットカードを一時的に削除する代替手段があればそれに置き換える、または アカウントを削除あるいは、情報漏洩の実際の規模と会社が講じる対策がより明確になるまで、自動更新を一時停止する。

デジタル経済におけるデータの脆弱性に関するもう一つの警告

Crunchyrollに対するこの攻撃疑惑は、 大規模デジタルサービスに影響を与えた最近の事件電子商取引からソーシャルメディアに至るまで、メール、SMS、電話、偽ウェブサイトなどを通じて大手ブランドになりすます詐欺が、スペインやヨーロッパ全土でますます蔓延しており、多くの場合、過去の情報漏洩で入手した実際のデータに依存している。

企業にとっての教訓は明白だ。 自国のシステムを強化するだけでは十分ではない チェーン内の外部リンク（サポートプロバイダー、コールセンター、AI、モデレーション会社など）のセキュリティレベルが同等でない場合、問題が発生する可能性があります。また、ユーザーにとっては、この事件は、最善の防御策は、適切なデジタルセキュリティ習慣を維持し、不審な活動に注意を払い、機密データを要求するメッセージには少なくともある程度警戒することであることを改めて認識させるものです。

何が起こったのか、どれだけの金額が盗まれたのか、どれだけの口座が影響を受けたのかが正確に解明されている間に、 注意を払い、パスワードを変更し、カード情報を確認し、不審なメールには警戒してください。 これは、公式情報が依然としてほとんどない数時間に対処する最も賢明な方法として提示されており、Crunchyrollのシステムと、その外部パートナーが果たす役割の両方に焦点が当てられています。