Okta、業務委託先の不正アクセスにより顧客情報が流出

発表日時2022/3/22

Oktaの業務委託先が不正アクセスを受け、顧客情報が流出。1万5000社以上に2要素認証を提供するOktaにて、業務委託先のSitelのカスタマーサポート担当エンジニアの端末がハッカー集団 LAPSUS$ からの不正アクセスを受け2022年1月16日から21日にかけてRDPによるリモートアクセスが可能な状態となった。

当初、同社では不正アクセスの試みは失敗し、不正アクセスはないとしていたが、同社アプリのSlack上の社内チャットらしきスクリーンショットがオンラインに投稿されたため、調査を行った結果、1月16日から21日までの5日間、サポートエンジニアの端末にアクセス可能であったことが発覚。

当初業務委託先のSitel の子会社は情報流出を認めており、OktaはSitelから侵害報告書を受け取っていたが、4日間放置していたところ、LAPSUS$ にスクリーンショットを公開された。

同社は直ちに調査を行った結果、同社サービスそのものではなく、Oktaアカウントでログインしている端末がセキュリティ侵害の対象で、この期間にOktaテナントにアクセスがあった約2.5％にあたる366顧客に影響が及ぶ可能性があることが判明した。これらのデータが閲覧や操作された恐れがあるとして、同社は対象顧客にメールで連絡を取るとともに、最新情報を共有するとしている。