メール配信サービス「Mailchimp」がハッカーによる不正アクセスを受け顧客データの一部が流出か

ニュースレター配信やメールマーケティングサービスを行う「Mailchimp」に攻撃者が侵入し、100件以上のアカウントのデータに不正なアクセスが行われたことがわかりました。

Information About a Recent Security Incident | Mailchimp
https://mailchimp.com/january-2023-security-incident/

Mailchimp says it was hacked — again | TechCrunch
https://techcrunch.com/2023/01/18/mailchimp-hacked/

Mailchimpの発表によると、2023年1月11日、顧客対応チームがカスタマーサポートとアカウント管理に使用しているツールのアカウントの1つに対して無許可のアクターがアクセスしているのをセキュリティチームが特定しました。この攻撃者は、Mailchimpの従業員と請負業者に対してソーシャルエンジニアリング攻撃を実行、攻撃によって侵害した従業員の資格情報を使用して、Mailchimpアカウントにアクセスしました。

この標的型インシデントの対象になったのはMailchimpアカウント133件で、Intuitが運営するMailchimp以外のサービスのシステムや顧客には影響はなかったとのこと。

セキュリティチームは疑わしいアクティビティのあったアカウントのアクセスを一時停止し、ユーザーのデータを保護。侵害があってから24時間以内に、影響があったと考えられるすべてのアカウントの主要連絡先への通知を行いました。

なお、Mailchimpでは2022年8月にも攻撃を受けていて、クラウド大手・DigitalOceanのものを含む200以上のアカウントが不正アクセスを受けたことがわかっています。

メール配信ツール「MailChimp」で不正アクセスがあったとDigitalOceanが報告 - GIGAZINE

2022年8月の攻撃後、最高セキュリティ責任者のシヴォーン・スミス氏は辞任しています。