Orange Groupが侵害認める　企業文書のリーク受け

nosa

2025.02.26

2月26日：サイバーセキュリティ関連ニュース

Orange Groupが侵害認める　企業文書のリーク受け

BleepingComputer – February 25, 2025

フランスの通信大手Orange Groupがハッカーの侵入を許し、ユーザーのレコードと従業員データを含む多数の内部文書を盗まれた。実行犯はHellCatランサムウェアグループのメンバーでもある脅威アクターReyとされ、攻撃者は同社への恐喝に失敗した後、盗み出したとされるデータの詳細をハッキングフォーラムで公開した。

OrangeはBleepingComputerの聞き取りに対し、クリティカルではないアプリケーションで侵害が発生したことを認めると共に、このインシデントについて調査を開始し、影響を最小限に抑えるべく取り組んでいると返答した。Reyの主張によると、盗まれたデータの多くはOrange Romaniaのもので、重複のないEメールアドレス38万件、ソースコード、請求書、契約書、顧客および従業員情報が含まれるとされる。

Reyはまた、BleepingComputerの取材に対し、この侵害がHellCatランサムウェアの犯行ではないことや、Orangeのシステムに1か月以上アクセスできていたことも語っている。同アクターは盗まれた認証情報に加え、バグ・問題を追跡するOrangeのJiraソフトウェアや社内ポータルの脆弱性を悪用して侵入し、合わせて6.5GB近く、約12,000件のファイルを含むデータを盗んだという。

共有されたサンプルには、Orange Romaniaの元従業員と現従業員、パートナー、請負業者のメールアドレス、ルーマニアの顧客の支払いカードの詳細などもあったとされる。しかし、BleepingComputerが検証したデータの一部はかなり古く、5年以上前に使われていたメールアドレスや、有効期限が切れている支払いカード情報も多く見つかったようだ。

米スクリーニング調査企業DISA Global Solutionsがデータ侵害を報告

The Record – February 26, 2025

米国のスクリーニング調査企業DISA Global Solutionsは24日、2024年に発生したデータ侵害で330万人分以上の個人情報が流出したことを明らかにした。同社は合わせて55,000もの企業にサービスを提供しており、その中には「フォーチュン500企業の30％」も含まれるとされる。

DISAは規制当局に提出した書類で、昨年の侵害が顧客の現従業員と元従業員だけでなく、就職内定者にも影響を与えたと報告した。同社は2024年4月22日に確認した侵害を同2月9日までさかのぼって調査し、この攻撃を外部からの「ハッキング」と断定。しかし詳細については言及せず、「このインシデントに関連する情報の不正使用の試みや、実際の悪用については認識していない」と述べるにとどまった。

同社Webサイト上の通知によると、侵害されたデータには個人名、社会保障番号、運転免許証番号のほか、「その他の政府ID番号や金融口座情報、およびその他のデータ要素が含まれていた可能性があるものの、これらのデータ要素がすべての個人に存在しているわけではない」と記されている。