IHGのパスワード保管庫が弱いパスワードで20万人の従業員に開放されていた ― ハッカーがデータを消去

2022年9月のある月曜日、世界約6,000のホテルを展開するホリデイ・イン、クラウンプラザ、リージェントの所有者であるIHGの顧客から、予約とチェックインに関する広範な問題が報告された。同社は24時間にわたり、ソーシャルメディアでの苦情に対して「システムメンテナンス」を理由に回答した。火曜日の午後、同社はロンドン証券取引所に対して、ハッキングを受け、予約チャネルやその他のアプリケーションが大幅に混乱したと伝えた。

自らをTeaPeaと名乗り、ベトナムに住むカップルだと語った攻撃者たちはBBCに対し、当初はランサムウェア攻撃を計画していたが、IHGのITチームが展開前にサーバーを次々と隔離したため、代わりにデータを不可逆的に破壊するワイパー攻撃を実行したと述べた。彼らは、従業員を騙して悪意のあるメール添付ファイルを開かせ、二要素認証のプロンプトを回避することで侵入し、その後IHGの内部パスワード保管庫のログイン情報を見つけたと語った。BBCは、彼らの説明によれば、保管庫の認証情報は20万人の全従業員が閲覧可能で、パスワードは「Qwerty1234」だったと報じた。

IHGは、ハッカーが提供したスクリーンショットが本物であることを確認した。しかし、保管庫の詳細が安全でなかったという点には異議を唱え、攻撃者は「複数のセキュリティ層」を回避する必要があったと述べ、多層防御のアプローチを採用していると主張した。

予約チャネルやその他のアプリケーションが数日間「大幅に混乱」した。IHGは投資家に対してハッキングを受けたと伝えた。費用の数値は示されていない。

ハッカーによれば、保管庫のユーザー名とパスワードは20万人の全従業員が利用可能だったため、1つの侵害されたアカウントが最も機密性の高いシステムを開放することになった。

ハッカーは、保管庫のパスワードがQwerty1234だったと述べた。これはよく使われるキーボード配列のパスワードである。

悪意のある添付ファイルと回避された二要素認証のプロンプトにより、従業員のデバイスに最初の足がかりを得たと報じられている。

セキュリティ専門家のリク・ファーガソンはBBCに対し、機密データは必要な人だけが利用できるようにすべきであり、複雑なパスワードでも露出していれば単純なパスワードと同じくらい安全でないと述べた。

背後にある保管庫が誰にでも読める状態で、キーボード配列のパスワードで守られていれば、強固な境界防御も機能しない。パスワードがどうであれ、アクセスは必要な人に限定すべきである。

IHGは顧客向けシステムが正常に戻りつつあると述べたが、サービスが断続的に続く可能性があるとした。ハッカーは顧客データは盗まれていないが、メール記録を含む一部の企業データを保持していると述べた。IHGはハッカーによる自社のセキュリティに関する説明を受け入れておらず、BBCの記事には金銭的コストの数値は示されていない。