エリクソンUSがサイバー攻撃を受け、15,661人の従業員と顧客の個人情報が漏洩
スウェーデンの通信大手エリクソンの米国子会社であるエリクソン・インクは、従業員と顧客の個人情報を含むデータ漏洩が発生したことを確認しました。このセキュリティインシデントは、エリクソン自社のネットワークを侵害するものではなく、代わりにエリクソンの個人情報を扱うサードパーティのサービスプロバイダーが侵害されたものです。
インシデントの詳細と攻撃ベクター
この漏洩は、エリクソンの米国事業をサポートする未公開のサードパーティのサービスプロバイダーに対する攻撃に遡ります。脅威アクターは、電話で従業員をだましてシステムアクセスを手に入れる「vishing」（音声フィッシング）攻撃を使用して、プロバイダーを侵害しました。
この侵害されたアクセスを通じて、攻撃者は2025年4月17日から2025年4月22日までの間、プロバイダーのファイルに侵入しました。プロバイダーは2025年4月28日に不審な活動を発見し、直ちに内部調査を開始し、外部のサイバーセキュリティ専門家と協力しました。しかし、エリクソンは2025年11月10日に初めてデータ漏洩について正式に通知を受けました。
被害者と漏洩したデータの正確な範囲を特定するための長期的で包括的なレビューが2026年2月23日に完了しました。
漏洩した情報
脅威アクターが取得した情報は、次のような非常に機密性の高い個人情報と財務情報です。
- フルネーム、住所、生年月日
- 社会保険番号（SSN）と運転免許証番号
- 政府発行のID、パスポートや州発行の身分証明書を含む
- 銀行口座番号やクレジットカードやデビットカードの詳細などの財務情報
- 機密医療情報
対応とセキュリティ反応
攻撃を実行したランサムウェアグループはまだ責任を認めず、データの悪用の証拠も現在は存在しませんが、エリクソンとそのプロバイダーは以下の措置を講じています。
- 連邦捜査局（FBI）への通報
- パスワードの強制リセット、強化されたセキュリティ措置の実装、および従業員のサイバーセキュリティトレーニングの強化
- 被害者に対して、ダークウェブモニタリング、クレジットモニタリング、および100万ドルの身分盗難損失補償ポリシーを含む無料の身分保護サービスを提供
このインシデントは、サプライチェーンとサードパーティのプロバイダーに関連するサイバーセキュリティリスクの増大を示しています。大企業であっても、サプライチェーンの脆弱なリンクを攻撃者が攻撃する可能性があります。従業員と顧客は、銀行口座の明細を確認し、クレジットプロファイルに詐欺警告を設定することを強く推奨します。