コインベース、史上最悪の情報漏洩に見舞われる：アウトソーシングにより顧客情報69,000件が漏洩

原題：「Coinbase史上最悪のセキュリティ侵害が発覚：アウトソーシングされたカスタマーサービスが数万人の顧客を密かに撮影し、1枚200ドルで販売」
出典：ベン・ワイス、フォーチュン

原文翻訳：ユリヤ、PANews

今年5月、Coinbaseは、ハッカーが数千人の顧客の個人データを盗み、その情報を使って被害者を騙し、暗号資産を渡させようとしていたことを明らかにしました。Coinbaseは、この事件による損失は最大4億ドルに達する可能性があると述べています。公式には、このハッキングはインドのアウトソーシング会社の内部関係者によるものとされていますが、米国最大の暗号資産取引所であるCoinbaseは、関与した具体的な人物をまだ明らかにしていません。最近の裁判所文書は、容疑者の身元と事件における彼の役割を明らかにしており、これはCoinbase史上最悪のセキュリティ侵害となっています。集団訴訟専門の法律事務所Greenbaum Olbrantzが火曜日に提出した修正訴状によると、今回のハッキングはTaskUsの従業員であるアシタ・ミシュラ氏に関連している。TaskUsはテキサス州に拠点を置く上場企業で、大手テクノロジー企業にアウトソーシングによるカスタマーサービスサポートを提供しており、低賃金労働市場で事業を展開している。ミシュラ氏はインドのインドールにあるTaskUsのサービスセンターで勤務していた。訴状によると、ミシュラ氏は2024年9月から社会保障番号や銀行口座情報などの顧客の機密データを盗み始めたという。彼女はこれらの情報をハッカーに売却することに同意し、ハッカーはCoinbaseの従業員を装って被害者を騙し、暗号資産を送金させた。

2024年9月から2025年1月にかけて、ミシュラ氏ともう一人の共犯者は、顧客情報を盗むためにさらに多くのTaskUs従業員を募集し、「複雑な放射状陰謀ネットワーク」を形成し、TaskUsのコンピューターを通じてCoinbaseの顧客データを犯罪者に転送した。訴状では、TaskUsの元従業員が、チームリーダーやオペレーションマネージャーまでが関与していたと述べている。

TaskUsがようやく問題に気付いた時、ミシュラ氏の携帯電話には1万人以上のCoinbase顧客データが入っていた。訴状によると、ミシュラ氏とその共犯者は写真1枚につき200ドルの報酬を受け取っており、時には1日に最大200枚のCoinbase顧客アカウントの写真を撮影していたという。Coinbaseは規制当局への提出書類の中で、最終的に6万9000人以上の顧客が影響を受けたと開示している。

Fortune誌が以前報じたように、この贈賄計画の首謀者は、「the Comm」と呼ばれる緩やかなハッカーグループに所属する10代から20代前半の若者たちとみられる。

データ盗難が2024年9月に始まったという主張は、Coinbaseが以前、攻撃は12月下旬に発生したと述べていたため、重要な意味を持つ。

もう一つ注目すべき動きとして、TaskUsは今月、外部ベンダーだけでなくCoinbaseの社内従業員もハッキングに関与していたと主張したが、同社はそれ以上の詳細は明らかにしなかった。事件発覚後、Coinbaseの広報担当者はFortune誌に対し、「当社は直ちに影響を受けたユーザーと規制当局に通知し、影響を受けた顧客に補償を行い、サプライヤーと社内従業員に対する管理を強化し、TaskUsとの提携を解消しました。犯人への身代金の支払いを拒否し、代わりに容疑者の逮捕と有罪判決につながる情報提供者に2,000万ドルの報奨金を提示しました」と述べた。 TaskUsは修正された訴状にすぐには反応しなかった。Fortune誌はアシタ・ミシュラ氏の所在をすぐには特定できなかった。TaskUsは以前Fortune誌に対し、「当社は顧客とユーザーデータのセキュリティを最優先事項としており、グローバルなセキュリティプロトコルとトレーニングプログラムの強化を継続しています」と述べている。一連の隠蔽工作　今回の訴訟は、今年最大規模の仮想通貨ハッキング事件の一つであり、Coinbaseの10年以上の歴史の中で最も深刻な侵害について、これまでで最も詳細な説明となっている。他の原告側の弁護士は以前にもこのハッキング事件でCoinbaseを提訴しており、Coinbaseはこれらの訴訟を仲裁に持ち込むよう求めてきた。仲裁は企業の経済的損失と悪評を軽減する上で役立ってきた実績があり、集団訴訟会社がCoinbaseを直接提訴するのではなく、アウトソーシング会社であるTaskUsを提訴することを選択した理由も説明できるかもしれない。この訴訟で、TaskUsはTaskUsが「侵害を知る者を黙らせるための措置を講じている」と非難している。フォーチュン誌が以前報じたように、TaskUsは1月にインドールで226人の従業員を解雇した。訴訟では元従業員の証言を引用し、陰謀グループが「TaskUsのシステムに徹底的に侵入したため、関与したすべての従業員を特定できなかった」ため、会社がこの思い切った措置を取ったと主張している。また、2月10日には、TaskUsは当初侵入調査を担当していた人事チームを解雇することを決定した。訴訟では、これは「重大な隠蔽工作」の一環だったと主張している。グリーンバウム・オルブランツによる新たな訴訟は、コインベースがハッキングを公表してから約2週間後の5月に提出した当初の訴状の修正版である。同社はこれまでにも、航空会社が「窓際の席」を販売していたにもかかわらず、実際には窓のない壁際の席に乗客を座らせていたと主張する訴訟など、注目を集めた訴訟を複数起こしている。コインベースは、この訴訟を同取引所のハッキングに関連する他のすべての訴訟に統合しようとしている。TaskUsは、この訴訟を却下し、より広範な統合訴訟に含まれないようにする申し立てを提出した。「修正された訴状は、このデータ侵害がどのように発生したかについて、前例のない詳細を明らかにしており、引き続きすべての関係者の責任を追及するために尽力していきます」と、グリーンバウム・オルブランツの共同創業者であるカーター・グリーンバウム氏は声明で述べた。

BlockBeats の公式コミュニティに参加しよう：

Telegram 公式チャンネル：https://t.me/theblockbeats

Telegram 交流グループ：https://t.me/BlockBeats_App

Twitter 公式アカウント：https://twitter.com/BlockBeatsAsia