アメリカ最大の民間貨物運送業者の一つ、エステス・エクスプレス・ラインズは、2万人以上の顧客に対し、犯罪者が個人情報を盗んだと告げた。
「ご存知のとおり、2023年10月1日、エステスは、不正な脅威アクターが当社のITネットワークの一部にアクセスし、ランサムウェアを仕掛けたことを発見しました」と、同社は21,184人に送付した書簡[PDF]で述べている。「FBIと金融規制当局の標準的な勧告に従い、エステスは身代金を支払いませんでした。」
家族経営のこの数十億ドル規模の企業は、10月初旬に「サイバー攻撃」を公表し、当時、侵入によってITインフラが影響を受けたと発表しました。10月24日までに、最高執行責任者（COO）のウェブ・エステスはXに動画を投稿し、「システム機能が完全に復旧した」と発表しました。
1か月後、ランサムウェア集団のLockbitが侵入の責任を認め、11月13日に同社から盗んだデータを漏洩したと発表した。
その後、大晦日にエステスはメイン州司法長官にデータ漏洩通知書を提出し、デジタル侵入に関する追加の詳細を記載したが、現在では侵入は確かにランサムウェアであったと述べている。
発送業者はFBIに協力していると述べており、その後のフォレンジック調査で侵入者が個人情報を盗んだことが判明しましたが、サンプル通知書では侵入者がアクセスしたデータが具体的には示されていません。メイン州の提出書類によると、氏名やその他の個人識別情報と社会保障番号の組み合わせが記載されていますが、通知書の空白部分は、ランサムウェアの実行犯がそれ以上の情報を盗み出したことを示唆しています。
2つのカジノランサムウェア攻撃の物語：1つは支払われ、もう1つは支払われなかった
続きを読む
エステス氏は、侵入者が盗んだデータ、最初にどのように会社のネットワークにアクセスしたか、要求した金額、会社の幹部が身代金を支払わないと決めた理由など、レジスター紙の侵入に関する質問にすぐには回答しなかった 。
もちろん、これは熱く議論されている話題であり、被害組織が有効なバックアップを備えているか、ダウンタイムにどれだけの費用がかかるかといった実際的な問題から、身代金を支払うことで人身売買やテロ、あるいはその後のサイバー犯罪が助長されるかどうかといった哲学的な問題まで、さまざまな要素が関係しています。
どちらの選択も、被害者にとって非常に大きな損失となる可能性があります。シーザーズ・エンターテインメントは、9月の侵入後、データの復号と顧客情報の漏洩防止のためにランサムウェア集団に1500万ドルを支払ったと報じられています。また、同じくラスベガスのホテル・カジノ大手のMGMリゾーツは、同様の攻撃で支払いを怠ったために1億ドル以上の損失を被ったと述べています。
米国政府は組織に対し身代金要求に応じないよう勧告しており、恐喝による支払いの全面禁止を求める声もある。
エステス社は「この事件によって個人情報の盗難、詐欺、金銭的損失が発生したとは認識していない」と述べている。
また、影響を受けた個人には、Kroll による 12 か月間の無料 ID 監視も提供されます。®
