概要
米国のデジタル投資アドバイザーであるBettermentは、システムへのハッカー侵入を確認し、一部の顧客に偽の仮想通貨関連メッセージが送信されたことを発表しました。先週、攻撃者はBettermentのインフラから不正なメールを送りつけ、特定の仮想通貨アドレスに送金された仮想通貨の金額を3倍にすると偽って、報酬詐欺に誘導しようとしました。
Bettermentとは
Bettermentは100万人以上の顧客を抱え、650億ドルに及ぶ様々な資産を管理しています。自動投資と金融アドバイスサービスを組み合わせたプラットフォームであり、米国の「ロボアドバイザリー」分野の先駆者の一つとされています。
仮想通貨詐欺の詳細
1月9日、攻撃者はBettermentがマーケティング活動に使用しているサードパーティのソフトウェアプラットフォームにアクセスし、それを利用して仮想通貨報酬詐欺のメッセージを配布しました。これは、クリスマス直前のGrubhubの事例と同様の形式です。
Bettermentは、「アクセスを得た後、権限のない個人は、Bettermentから発信されたかのように見える不正な仮想通貨関連メッセージを、一部の顧客に送信することができました」と説明しています。
漏洩した顧客情報とシステムの安全性
同社は、Bettermentの技術インフラ自体は安全に保たれ、いかなる影響も受けていないことを強調しました。顧客アカウントへの不正アクセスやアカウント認証情報の漏洩はなかったとされています。しかし、攻撃者は、侵害されたシステムに保存されていた一部の顧客情報にアクセスし、それを閲覧することができました。これには以下の情報が含まれます：
- 氏名
- メールアドレス
- 住所
- 電話番号
- 生年月日
詐欺メールの内容
偽のオファーメッセージは、Bettermentの正規サブドメインである「support@e.betterment.com」から送信され、「仮想通貨を3倍に増やします！ (期間限定)」という件名でした。
一部のBetterment顧客が受け取ったメッセージには、「これまでで最高の業績を祝し、次の3時間でビットコインとイーサリアムの預金を3倍にします」と書かれていました。攻撃者はメッセージ内で、ビットコインとイーサリアムのウォレットアドレスを記載し、最大75万ドルの預金を受け付けると主張していました。
Bettermentの対応と今後の対策
Bettermentは1月9日に事件に関する声明を発表し、顧客に詐欺メッセージについて警告し、このオファーは偽物であり無視するよう求めました。1月10日の後続の連絡では、同社は不正な「Bettermentシステムへのアクセス」を確認し、これによりハッカーが「一部の顧客に不正な仮想通貨オファーを送信できた」ことを認めました。
Bettermentは、「不正アクセスは削除されており、現時点では、不正な個人がBettermentの顧客アカウントにアクセスしたという兆候はありません」と述べました。同社は、調査完了後にはより詳細な情報と詳細な事後分析を公開すると約束しています。また、今後同様の事件が発生するのを防ぐため、ソーシャルエンジニアリング攻撃に対する保護を強化しています。
同社はユーザーに対し、「警戒を怠らず、予期せぬ連絡には注意するよう」推奨しています。さらに、「Bettermentがパスワードやその他の機密性の高い個人情報の共有を要求するために、電話、テキストメッセージ、またはメールで連絡することはありません」と注意喚起しています。
類似の被害事例
12月24日には、同じ攻撃者がGrubhubのマーチャントパートナーやレストランとの連絡システムにアクセスし、預金の10倍の利益を約束する同様の仮想通貨報酬詐欺を実行しました。Grubhubはこの侵害に関する詳細を提供しませんでしたが、問題を特定し、再発防止策を講じたと述べています。