Dellの情報漏えい、顧客情報4,900万件で確定。犯人がその手口を語る

先日、Dellは顧客情報が漏えいしたことを明らかにした。その中には、顧客の氏名、住所、注文に関する情報が含まれていた。

2024年4月28日に、Breach ForumsというハッキングフォーラムでMenelikという人物がDellから窃取したとされる4,900万件の顧客情報を販売していた。

私たちはMenelikにコンタクトを取って話を聞いたところ、件の犯行は自身によるものだと語った。

MenelikはDellのパートナー・再販業者・小売業者向けのポータルページからデータを窃取した。偽の会社名で複数のアカウントを登録してポータルにアクセスしたという。Menelikは以下のように述べている。

ポータルへのアクセス権を得ると、Menelikは7桁のサービスタグを生成するプログラムを作成し、2024年3月からポータルページにサービスタグを送信して、返ってきた情報を収集した。ポータルページにリクエスト制限はなく、過剰にリクエストを送ってもブロックされなかったため、毎分5,000件のリクエストを3週間にわたって行うことで4,900万件もの顧客情報を収集することができたという。

Menelikは2024年4月12日と14日にDellのセキュリティチームにメールでこの問題を報告した。DellはMenelikのメールには返信をせず、約2週間後まで修正しなかった。修正したのはハッキングフォーラムに窃取したデータを売りにだした頃だという。

本件についてDellに問い合わせたところ、多くの質問には答えなかったが、Menelikからのメールを受け取る前からすでに状況を把握していたと語った。Dellは以下のように述べている。