銀行へのランサムウェア攻撃により提携するWise・Affirm・Mercuryなどフィンテック各社の個人情報も流出した可能性

2024年6月28日、アメリカのアーカンソー州に拠点を置く金融機関のEvolve Bank ＆ Trustが、サイバー犯罪集団「LockBit」によるランサムウェア攻撃を受けたことを発表しました。これにより、Evolve Bank ＆ Trustの顧客や従業員の個人情報に加え、提携するWise・Affirm・Mercuryなどのフィンテック各社に関連するデータも流出したと報じられています。

Cybersecurity Incident | Evolve Bank & Trust
https://www.getevolved.com/about/news/cybersecurity-incident/

Fintech company Wise says some customers affected by Evolve Bank data breach | TechCrunch
https://techcrunch.com/2024/07/01/fintech-company-wise-says-some-customers-affected-by-evolve-bank-data-breach/

Startups scramble to assess fallout from Evolve Bank data breach | TechCrunch
https://techcrunch.com/2024/06/27/startups-scramble-to-assess-fallout-from-evolve-bank-data-breach/

Evolve Bank ＆ Trustは、1925年にアーカンソー州で農村開発を支援する銀行として設立されました。近年ではテクノロジーを活用したソリューションに注力し、オンライン金融サービスを提供するフィンテック企業と積極的に提携しています。

2024年6月28日にEvolve Bank ＆ Trustが発表したレポートによると、同社は2024年5月下旬に一部のシステムが正常に機能していないことを確認したとのこと。当初はハードウェアの障害が疑われましたが、専門家による調査で不正なアクセスを受けた可能性があると判断され、インシデント対応プロセスが開始されたそうです。攻撃は5月31日までに食い止められ、その後は不正なアクティビティは発生していないと同社は説明しています。

外部専門家に依頼した調査の結果、今回の不正アクセスは名古屋港サイバー攻撃事件やアメリカの保険関連ソフトウェア開発企業への攻撃を行ったサイバー犯罪集団「LockBit」によるものだと判明。ハッキングを受けた原因は、従業員が悪意のあるインターネットリンクを誤ってクリックしたことだとわかりました。

記事作成時点では、ハッカーが顧客の資金にアクセスしたという証拠はないものの、2月と5月にEvolve Bank ＆ Trustのデータベースと共有ファイルを経由して、データをダウンロードしていたとのこと。また、システム内の一部のデータが暗号化されたそうですが、利用可能なバックアップがあったためデータ損失と運用への影響は限定的だったとされています。

しかし、Evolve Bank ＆ Trustがハッカーに要求された身代金の支払いを拒否したことから、ダウンロードされたデータがインターネット上に流出してしまったと報告されています。ハッカーがダウンロードしたデータには、パーソナルバンキングを利用するほとんどの顧客およびオープンバンキングパートナーの氏名・社会保障番号・銀行口座番号・連絡先情報が含まれているほか、従業員の個人情報も流出した可能性が高いとのこと。ビジネス・信託・住宅ローンの顧客を含むその他の個人情報が影響を受けたかどうかは、記事作成時点ではまだ調査中とのこと。

Evolve Bank ＆ Trustはオンライン金融サービスに関連する多くの企業と提携しており、関係各社は今回のランサムウェア攻撃の影響を調査しています。国際オンライン送金サービスを提供するWiseは、Evolve Bank ＆ Trustとアメリカの顧客の氏名・住所・生年月日・連絡先情報・社会保障番号または雇用主証明番号などを共有しており、流出したデータの中にこれらの個人情報が含まれていないかどうか調査していると報告しています。

米国のEvolve Bank & Trustにおける情報漏洩について | Wiseヘルプセンター
https://wise.com/ja/help/articles/1Tyvn34K9tp08aZ0y0Hqe0/

また、分割後払いサービスを提供するAffirmも、Evolve Bank ＆ Trustが関与するサイバーセキュリティインシデントを認識して調査中だとのこと。

Evolve Bank and Trust cybersecurity incident
https://helpcenter.affirm.com/s/article/evolve-bank-and-trust-cybersecurity-incident

銀行・財務業務を単一のダッシュボードで管理するサービスを展開するMercuryは、同社の顧客に関連する口座番号・預金残高・事業者名・電子メールなどのデータが流出したと報告。パスワードを含むMercuryアカウントの認証情報は流出しておらず、影響を受けたMercuryの顧客を保護する措置を講じていると説明しました。