ハッカーは空調業者を通じてTargetに侵入し、4000万枚のカードを盗んだ

2013年のホリデーシーズン、小売大手のTargetは史上最大級のデータ侵害の一つに見舞われた。攻撃者はTarget自身の防御を直接突破したのではなく、Targetの暖房・空調システムを保守していた第三者ベンダーから認証情報を盗み出して侵入した。そのベンダーのアクセス権を通じて、攻撃者はTargetのネットワーク内部へと移動した。

内部に侵入すると、攻撃者はTargetのPOS（販売時点情報管理）システムにマルウェアをインストールし、約4000万人の顧客のクレジットカードおよびデビットカード番号を、さらに約7000万人分の個人情報（氏名、住所、メールアドレス）を盗み出した。Targetには侵入を検知していたセキュリティツールがあったにもかかわらず、その警告には対応が取られず、侵害は数週間にわたって発覚しなかった。

影響は深刻だった。Targetは複数州にまたがる和解で1850万ドル、集団訴訟の和解で1000万ドルを支払い、是正措置に数億ドルを費やし、売上と評判にも打撃を受けた。最高経営責任者のグレッグ・スタインハーフェルは2014年に辞任した。この侵害はサイバーセキュリティにおける画期的な事例となった。サプライチェーンにおける弱い環と、無視されたセキュリティ警告が、いかに数千万人分の顧客データを危険にさらし得るかを如実に示す例となったのである。

この侵害により、Targetは1850万ドルと1000万ドルの和解金、数億ドルの是正費用を負担し、CEOの職を失った。4000万枚のカードと7000万人の顧客データが盗まれた後のことだった。

攻撃者は、第三者であるHVAC業者から盗んだ認証情報を通じてTargetのネットワークに侵入し、サプライチェーンの弱い環を突いた。

内部に侵入すると、POSシステムにマルウェアをインストールし、4000万件のカード番号と7000万人の顧客データを盗み出した。

Targetのセキュリティツールは侵入を検知していたが、警告には対応が取られなかったため、侵害は数週間にわたって発覚しなかった。

この侵害により、Targetは和解金と是正措置に数億ドルを費やし、売上と評判に打撃を受け、CEOの辞任につながった。

自社のセキュリティの強さは、最も弱いベンダーの水準を超えることはない。TargetはHVAC業者の認証情報を通じて侵害され、その警告は無視された。誰も対応しない警告は、警告とは言えない。

Targetの侵害は史上最大級の一つであり、サイバーセキュリティにおける画期的な事例となった。第三者のベンダーの認証情報と無視された警告を通じて、数千万人分の顧客データが危険にさらされたのである。Targetは和解金と是正措置に数億ドルを費やし、ホリデーシーズンの売上と評判に打撃を受け、CEOの辞任につながった。教訓は長く生き続ける。企業のセキュリティは、そのネットワークへのアクセス権を持つあらゆるベンダーに及ぶのであり、セキュリティツールが生成する警告が無視されれば、そのツールは無価値である。対応しない侵害こそが、企業を破滅させる侵害なのだ。