ウエスタンデジタルから顧客情報を含む大量のデータを盗んだハッカーが「最低13億円超」の身代金を要求か

現地時間の2023年4月3日(月)、大手ストレージ企業のウエスタンデジタルがハッキングの被害を受け、クラウドサービスである「My Cloud」などのサービスが一時的にダウンしました。この攻撃を仕掛けたハッカーは「顧客情報を含む大量のデータを盗み出した」と主張しており、ウエスタンデジタルに対して最低1000万ドル(約13億円)以上の身代金を要求していると報じられています。

Hackers claim vast access to Western Digital systems | TechCrunch
https://techcrunch.com/2023/04/13/hackers-claim-vast-access-to-western-digital-systems/

After 10 Days, Western Digital's My Cloud Finally Restored Following Hack | PCMag
https://www.pcmag.com/news/after-10-days-western-digitals-my-cloud-finally-restored-following-hack

ウエスタンデジタルによると、ハッカーにより同社のネットワークが侵害を受けた「ネットワークセキュリティインシデント」が3月26日に特定され、複数の企業システムへの侵入が確認されたとのこと。これに対応するため、ウエスタンデジタルは外部のセキュリティ及び法律の専門家の支援を受けて調査を開始すると共に、システムやサービスをオフラインにする保護対策を実施。My Cloudなどのサービスがダウンする事態となりました。

ウエスタンデジタルがサイバー攻撃を受けて「My Cloud」などのサービスが24時間以上ダウン - GIGAZINE

ウエスタンデジタルは声明で「これまでの調査から、何者かが当社のシステムから特定のデータを不正に入手したと考えています。そのデータが何だったのかを把握するべく努力しています」と述べましたが、ハッカーによって盗まれたデータの詳細については明らかにしていません。

ハッキングの報告から10日が経過した現地時間の4月13日(木)に、ウエスタンデジタルはMy Cloudが復旧したことを報告しました。

ところが、ハッカーの1人はテクノロジー系メディアのTechCrunchに接触し、自分たちが大量の顧客情報を含む約10TBのデータをウエスタンデジタルから盗み出し、「最低1000万ドル」の身代金を要求していると述べたそうです。

TechCrunchによると、ハッカーは自らの主張を証明するために「ウエスタンデジタルのコードサイニング証明書」で署名したファイルを共有し、ウエスタンデジタルになりすますことが可能になったと述べたとのこと。2人のセキュリティ研究者もこのファイルを確認し、確かにウエスタンデジタルの証明書で署名されていることを認めました。

また、ハッカーはウエスタンデジタルの幹部数人の電話番号も共有しました。TechCrunchがこれらの電話番号にかけてもボイスメッセージサービスに転送されるだけでしたが、2つの電話番号では幹部の名前入りのボイスメッセージが流れたとのこと。なお、これらの電話番号は一般に公開されているものではありませんでした。

さらにハッカーは「ウエスタンデジタルの内部メール」「社員が使用していると思われるウェブサービスに保存されているファイル」「ウエスタンデジタルの最高情報セキュリティ責任者が参加するグループチャット」などのスクリーンショットをTechCrunchと共有したほか、eコマースプラットフォーム・SAPで管理されているデータなども盗み出したと主張しています。

ハッカーはランサムウェアを使用してウエスタンデジタルのファイルを暗号化し、身代金を要求したそうですが、ウエスタンデジタル側は身代金交渉に応じていないとのこと。ハッカーは「私はウエスタンデジタルに対し、身代金を支払うチャンスを与えたいのですが、何度電話をかけても答えずに電話を切ってしまいます」と述べています。

また、ウエスタンデジタルのメールシステムがダウンしているため、数人の幹部が持っている個人用メールアドレスにも「1回限りの支払い」を要求するメールを送信しているとハッカーは主張しています。ハッカーは幹部に送信したメールで、自分たちは依然としてウエスタンデジタルのネットワークに潜んでおり、その気になればいつでも永続的な害を与えることが可能だとアピール。その上で、「このやり方を続ければ私たちは報復します」「無駄な言い争いはやめて、お金をもらい、お互いに別々の道を歩みましょう。簡単に言えばお互いのエゴを捨てて、この複雑なシナリオを解決するために努力しようということです」と記しました。

ハッカーはTechCrunchに対し、ウエスタンデジタルを狙ったのはたまたまであると主張しており、顧客データやハッキング方法の詳細について回答するのを拒否しました。なお、ウエスタンデジタルが身代金交渉に応じない場合、データをランサムウェアギャング・Alphvのウェブサイトで公開するつもりだとのこと。ハッカーは自分たちのグループに特定の名称はなく、Alphvと直接提携しているわけではないとしていますが、「私はAlphvがプロであることを知っています」と述べたそうです。

ウエスタンデジタルの広報担当者であるCharlie Smalling氏は、盗まれたデータの量や顧客データの有無、ハッカーと接触したかどうかといった質問について、TechCrunchへの回答を拒否しました。

テクノロジー系メディアのPCMagは、「サイバー犯罪者は企業に支払いを迫るため、請求内容を誇張したり、うそをついたりする動機があることに留意する必要があります」と述べ、ハッカー側の主張をそのまま信じることはできないと指摘しました。