暗号資産(仮想通貨)の取引を追跡する分析サービスで知られる米国企業Chainalysisが、サイバーインシデントの標的になったことを認めました。外部の攻撃者が同社の社内ツールに侵入し、顧客に関する「機微性の低い」データにアクセスしたとされています。
同社の説明によると、今回の侵入では、捜査・調査に関する内容(顧客が分析のために扱うデータなど)や、認証情報(ログインに使うIDやパスワードの類)への不正アクセスは確認されていないとのことです。一方、報じられている見出しでは、顧客の本人確認に関わる情報(身元データ)が露出したとされており、「機微性が低い」とされる範囲の詳細については、今後の続報に注目する必要があります。
Chainalysisは、各国の捜査機関や金融機関、暗号資産企業が不正送金やマネーロンダリング(資金洗浄)の調査に使うサービスを提供しています。こうした企業の社内ツールは、顧客のやり取りを管理する画面や支援ツールなど、複数のシステムにまたがっていることが多く、攻撃者にとっては「顧客情報の入口」になりやすい場所です。
この種のセキュリティホールや設定の不備による侵入事案では、盗まれたデータそのものよりも、そこから派生する「なりすまし」や「フィッシングメール」のほうが、後から被害につながることがあります。Chainalysisの顧客や関係者は、同社からの正式な通知を確認し、同社を名乗る不審なメールやメッセージ、リンクには特に注意するのが安全です。
なお、現時点で公表されている情報は限られており、侵入の経路や期間、影響を受けた顧客の数などは明らかになっていません。続報があれば、あらためて整理してお伝えします。