1720797740
2024-07-12 14:46:42
エディターズダイジェストを無料で入手
FT の編集者 Roula Khalaf が、この週刊ニュースレターでお気に入りの記事を選びます。
AT&Tは今年初めに大規模なサイバーセキュリティ侵害に遭い、ハッカーが米国の通信会社の顧客1億1000万人の通話とテキストメッセージの情報にアクセスした。
同社は金曜日の規制当局への提出書類で、4月の11日間にわたり、「脅威の実行者」が2022年の数か月間および2023年1月2日の顧客の通話とテキストの記録にアクセスし、コピーしたと述べた。
侵害されたデータには、同社の携帯電話顧客、同社の無線ネットワークを使用する仮想移動体通信事業者（MVNO）の顧客、および2022年5月から10月の間にそれらの携帯電話番号とやり取りした固定電話の顧客に関するファイルが含まれていた。同社は、1月2日のデータ侵害は「ごく少数の顧客」に影響を与えたと述べた。
これは、3月に続いて、AT&Tが今年公表した2番目のサイバーセキュリティインシデントである。これにより、ダラスを拠点とする同グループは、過去12か月間にサイバーセキュリティ侵害に対処した米国の大手企業のリストに加わった。このリストには、医療大手のユナイテッドヘルス、消費者団体のクロロックス、カジノ運営会社などが含まれる。 MGMリゾーツ・インターナショナルとシーザーズ・エンターテインメント、そしてシュプリームやノースフェイスを所有するVFグループ。
米証券取引委員会は昨年、国家安全保障や公共の安全上の理由で報告を遅らせることを認める例外はあるものの、企業に重大なサイバー攻撃を迅速に報告するよう新たな要件を課した。 AT&T このケースは、企業がこのような免除を利用した初めてのケースである。
AT&Tは、4月19日に情報漏洩を知り、5月と6月に米国司法省が公表を遅らせることが正当であると判断したと述べた。同社は「当社は法執行機関の継続中の捜査に協力している」とし、「その一環として、彼らの仕事に支障をきたさないように発表を遅らせた」と述べた。
同社によれば、少なくとも1人がすでに逮捕されたという。
ベライゾンに次ぐ米国第2位の携帯電話会社AT&Tは、盗まれた顧客の記録が公表されたとは考えていないと述べた。同社によると、データには通話内容やテキストメッセージ、個人情報は含まれていなかったという。
しかし、同社は、アクセスされた情報には「顧客名は含まれていないが、公開されているオンラインツールを使用すれば、特定の電話番号に関連付けられた名前を見つける方法がよくあった」と警告した。
AT&Tは、この事件が同社の財務状況や業績に重大な影響を及ぼす可能性は「それほど高くない」と考えていると述べた。同社の株価は金曜日の取引開始時に1％下落した。
SECの規定では、企業がサイバーセキュリティインシデントが「重大」であると判断した場合、4営業日以内に株式市場で発表しなければならない。しかし、米国司法長官または指定された司法省職員が、そうすることで公共の安全または国家の安全保障に重大なリスクが生じると判断した場合、提出を遅らせることができる。
司法省の当局者は、企業は早期に告発することを恐れる必要はないと述べた。「この規則は『ゴチャ』を仕掛けるために制定されたものではない」と同当局者は述べた。当局と関わったからといって「重要性の判断が引き起こされ、開示の期限がスタートするわけではない」。
AT&Tは、顧客データはサードパーティのクラウドプラットフォーム上の自社ワークスペースからダウンロードされ、その後「違法アクセスポイント」を閉鎖したと述べた。
同社は3月、ダークウェブに公開されたデータセットに「AT&Tデータ固有のフィールド」が含まれていたが、その情報がAT&Tから盗まれたのか、ベンダーから盗まれたのかは不明だと述べた。同社は当時、自社のシステムへの不正アクセスの証拠はないと述べた。
この事件のデータは2019年以前のものであると思われ、約7,300万人の現顧客または元顧客に影響を与えた。
#ATTのほぼすべての無線通信顧客のデータがハッキングでアクセスされる