セイコーUSAサイト改ざん、Shopify顧客情報盗難と主張

Seiko USA（セイコーUSA）の公式サイトが週末に改ざんされ、Shopifyの顧客データベースを盗んだと主張する脅迫文が掲示された。身代金を拒めばデータを公開すると迫る内容で、「Press Lounge」ページが攻撃者の舞台になった。

サイトを乗っ取って脅迫文を置くという手口

今回の事件で目を引くのは、手口そのものの異様さだ。BleepingComputerが4月20日に報じた内容によれば、Seiko USAの公式サイトのうち「Press Lounge」というセクションが、週末のあいだ「HACKED」というタイトルの脅迫ページに差し替えられていた。

通常のランサムウェア被害では、攻撃者は闇サイトに被害組織名を晒し、そこに脅迫文を掲載する。これに対して今回は、被害企業のサイト自体を乗っ取り、そこに脅迫文を貼り付けた。訪問者がいきなり「あなたのShopifyストアに関する緊急のセキュリティ通知」という文言を目にする構造だ。

脅迫ページには挑発的な書き出しが並んでいた。Shopifyストアのセキュリティシステムを突破し、顧客データベースを丸ごとダウンロード済みだ、と攻撃者は自身の戦果を宣言している。

これは、貴社のShopifyストアに関する緊急のセキュリティ通知である。顧客データベースは侵害された。

ここで注目したいのは、脅迫文の宛先が「Seiko USAを読む第三者」ではなく「Seiko USA自身」に設定されている点だ。公の脅迫状を企業の自宅玄関に貼る、いわば晒し上げと通告の合わせ技になっている。

当方はShopifyストアのセキュリティを突破し、顧客データベース全体をダウンロード済みだ。

盗まれたとされる情報と、72時間という期限

攻撃者が「盗んだ」と主張する情報は4種類に分かれる。顧客情報として氏名・メールアドレス・電話番号、注文履歴として購入記録と取引詳細、配送データとして住所と配送設定、そしてアカウント詳細として登録日や顧客メモ。BleepingComputerが公開した改ざんページのスクリーンショットにはこれらが箇条書きで並んでいた。

支払い情報について直接的な記載がなかった点は、幸いなのか単なる省略なのか判然としない。Shopifyは決済情報を店舗側のデータベースに持たせない設計であり、管理画面から見える範囲にクレジットカード番号は通常存在しない。その意味で、攻撃者が触れなかったのは自然な帰結とも読める。

期限は72時間。攻撃者は「連絡がなければデータを公開する」と警告した。この時間設定は、ランサムウェアギャングが交渉を急がせる際によく使う数字で、心理的圧力の定番でもある。

72時間以内にSeiko USAから連絡がなければ、盗まれたとされるデータベースは公開される。連絡手段は、攻撃者が追加したとされる特定の顧客アカウントのメールアドレスのみ。

連絡手段に特定の顧客IDを指定する異例の要求

交渉フローにも独特の捻りがある。攻撃者はSeiko USAに対し、顧客ID「8069776801871」のアカウントをShopify管理画面で検索しろと一方的に指示した。そのアカウントのプロフィールに連絡用メールアドレスを追加してあるので、そこから交渉を開始せよ、という流れだ。

攻撃者が正規の顧客アカウントに成りすまして連絡窓口を作る。この手口は、Shopify管理画面への書き込み権限を持っていたことを示唆する。読み出しだけなら外部のデータ取得で済むが、プロフィールの編集には何らかのアクセスが必要だ。真実なら、Shopifyストアの管理権限レベルで侵害が起きた可能性が高い。

もちろん、この主張自体が偽装の可能性も残る。BleepingComputerも「脅威アクターの特定も、主張の真偽も確認できていない」と明言している。だが、改ざんされたサイトが実際に表示されていた以上、攻撃者が何らかの権限を持っていたことは動かない。表示差し替えができる時点で、管理画面の侵害はすでに一線を越えている。

沈黙するSeiko USAと、ひっそり削除された脅迫文

Seiko USAはBleepingComputerのメール照会に現時点で回答していない。その一方で、脅迫メッセージはサイトからすでに削除済みだ。Press Loungeページは元に戻されたとみられる。

削除は応急措置として理解できる。訪問者に不審なメッセージを見せ続けるリスクは大きい。ただ、公式の告知がないまま改ざん表示だけを消すやり方は、影響を受けた可能性のある顧客にとって不安材料にしかならない。実害の有無を企業が自ら確認するまで、消費者は情報を得られないままだ。

2023年の前例を思い出す読者もいるだろう。セイコーグループ本体は2023年7月にBlackCatランサムウェアの攻撃を受け、約6万件の個人情報流出を公表した。当時はランサムギャングがリークサイトに被害を掲載する従来型の手口だった。今回、米国法人のShopifyストアが狙われたことが同じ脅威アクターによるものかは不明だが、セイコーの名前が2年半あまりで再びサイバー脅迫の文脈に載ったのは事実だ。

Shopifyを使う企業全般への警鐘

一連の事象で最も広い波紋を呼ぶのは、Shopifyストアの管理画面が改ざんされ得るという可能性そのものだ。Shopifyは中堅小売業から個人事業まで幅広く使われる巨大プラットフォームで、日本でも導入企業は多い。

直接的な侵害経路は今のところ公表されていないが、過去のShopify関連侵害の多くは次のような経路をたどってきた。店舗オーナーのアカウント認証情報のフィッシング、サードパーティ製アプリの脆弱性、従業員端末のマルウェア感染からのセッションハイジャック。Shopify本体のインフラではなく、店舗の運用体制が弱点になる事例が大半だ。つまり今回の事件もShopify本体の脆弱性とは限らず、店舗オーナーの運用体制こそが最も現実的な攻撃面と言える。

今回の改ざんが、これらのどのパターンに該当するのかは、Seiko USAの正式公表を待つほかない。しかし脅威アクターが「身代金目的」ではなく「改ざんによる公開脅迫」という戦術を選んだのだとすれば、これは新しい現象と言える。闇サイトを立てる手間を省き、被害企業のSEOと知名度をそのまま圧力として使う合理的な手口でもある。

参照元のBleepingComputerは、主張の真偽を確認できないとしたうえで、事件そのものの異質さを強調した。72時間の期限がいつ切れたのか、データが実際に公開されたのか、公表はこれからの焦点になる。

改ざん表示の削除は問題の終わりではない。公式説明がないまま幕が下りるなら、影響を受けた可能性のある顧客にとってはここからが本当の警戒期間になる。

参照元

• BleepingComputer - Seiko USA website defaced as hacker claims customer data theft

関連記事

• Rockstar再び侵害、ShinyHuntersが4月14日期限で身代金要求
• 中国スパコンから10PB流出疑惑、VPN1本で半年素通り
• ランサムウェア交渉人が裏で手引き、7500万ドル恐喝に加担
• イラン「米国が通信機器のバックドアを発動」、中国が便乗
• サードパーティのアンチウイルスは不要、Microsoftが明言
• 17年前のExcel脆弱性が現役、CISAが異例の短期警告
• Booking.comが予約データ漏洩を認める、規模は伏せたまま
• Adobe Readerゼロデイ、PDFを開くだけで情報流出
• ロシアGRU、家庭用ルーター1万8000台を乗っ取りOutlook認証情報を窃取
• イラン系ハッカー、米国の水道・電力を「実際に破壊」──FBIが異例の緊急警告