Bleeping Computerは1月13日(米国時間)、「NortonLifeLock warns that hackers breached Password Manager accounts」において、サイバー攻撃者がNorton Password Managerのアカウントを侵害したと伝えた。

Gen Digital(旧NortonLifeLock)のパスワード管理ツールであるNorton Password Managerに対し、クレデンシャルスタッフィング攻撃が行われたことが判明。同社がアカウントに不正ログインされたことを顧客に報告したと伝えられている。

2022年12月1日に攻撃者が別のソースから入手したとみられるユーザー名とパスワードのリストを悪用し、Nortonの顧客アカウントに不正ログインする試みが行われたことが明らかとなった。2022年12月12日にログイン試行の失敗を「異常に大量に」検出したため、クレデンシャルスタッフィング攻撃を受けたことが発覚。2022年12月22日までに内部調査が完了し、顧客アカウントが侵害されたことが確認されている。

この侵害により、不正な第三者に顧客の姓名、電話番号、住所が閲覧された可能性があると同社は報告。さらに、アカウントに保存された内容によっては、他のオンラインアカウントの漏洩やデジタル資産の損失、秘密の暴露などにつながる可能性があることも伝えられている。

同社は攻撃者が顧客情報に再びアクセスできないよう、影響を受けたすべてのアカウントに対してパスワードをリセットし、悪意のある試みに対抗するための追加対策を実施したと説明している。また、アカウントを保護するために二要素認証(2FA: Two-Factor Authentication)を有効にするよう推奨しており、無料の信用調査サービスを顧客に提供したと発表している。

ユーザー側でアカウントおよびパスワードを厳重に管理していても、利用しているサービス側のシステムが侵害され、アカウント情報が漏洩してしまう場合がある。漏洩したアカウント情報はダークWeb市場に流出し、サイバー犯罪者に悪用されるリスクがある。そのため、ユーザーは多要素認証(MFA: Multi-Factor Authentication)や二要素認証(2FA: Two-Factor Authentication)といったセキュリティ対策を利用するとともに、漏洩した場合に他のサービスが侵害されないよう同一のパスワードを使い回さずに1つのアカウントに対しユニークなパスワードを使うことが望まれる。