クラウド電話APIサービスのTwilioにフィッシング攻撃で顧客データ漏えい

[ITmedia]

　クラウド電話APIサービスを手掛ける米Twilioは8月7日（現地時間）、4日に「高度なソーシャルエンジニアリング攻撃」を受け、一部の顧客アカウント情報に不正にアクセスされたと発表した。

　アクセスされたとみられる顧客には個別に詳細を通知している。「Twilioから連絡がない場合は、お客様のアカウントがこの攻撃の影響を受けたという証拠がないことを意味します」という。同社のサービスは、日本のKDDIや三菱UFJ銀行、ANAなども採用している。

　まだ調査の初期段階ではあるが、同社はキャリア、レジストラ、ホスティングプロバイダーと協力して対策に取り組んでいるとしている。「攻撃者は攻撃を再開するために通信事業者やホスティング プロバイダーを巡回し続けている」。

　手口は、多数の従業員（元従業員を含む）に対し、IT部門からと装うテキストメッセージを送りつけ、URLを開かせるというもの。メッセージは従業員のパスワードの有効期限が切れているのでURLにログインするよう促す文面で、米国の通信業者ネットワークから送信されていた。「攻撃者は従業員の名前と電話番号を照合する高度な能力を持っているようだ」。

テキストメッセージ例

　他の企業からも同様の攻撃を受けたと聞いているという。攻撃者は特定できていないが、「高度に洗練された組織」と確信しており、法執行機関と連携して特定に努めているという。