初報から5日で全員分に　チェイナリシス侵害、パスワード情報と有効トークンが露出

　ブロックチェーン分析大手のチェイナリシスは11月4日（米東部時間）、全ユーザーの氏名、ユーザー名、パスワードのハッシュ値、有効なトークン（live tokens）が悪意のある攻撃者に露出したことを、公式ブログで明らかにした。日本時間では5日午後1時ごろの更新にあたる。

　同社は10月30日に不正アクセスを公表しており、本誌は11月1日に、初報として伝えた。当時は、ユーザーIDや氏名、メールアドレスなどがアクセスされた一方、パスワードの平文やMFA（多要素認証）の秘密情報、ユーザーのセッショントークンへの不正アクセスは確認されていないと説明していた。

　同社によると、露出は2日（月曜）に分かった。調査の間、ReactorとData Solutionsへのアクセスを止めた。現時点で、調査データ（investigations data）へのアクセスや、同社の帰属データ（attribution data）の改ざんを示す証拠はないという。

　4日にはコンプライアンス向けの取引モニタリング製品にも影響が出た。同社は監視を強め、4日に異常な活動を検知して、KYT（画面とAPI）をアドレススクリーニング製品、ログインページとともにオフラインにした。KYTのアカウントが不正にアクセスされたとみられる顧客には、直接連絡しているという。

　パスワードについては、4日午前9時50分（同）に、「on-path attack」（通信経路上での攻撃）でパスワードが露出した一部の顧客へメールを送り、アカウントをロックした。同社はこの経路を封じ込め、修復済みだとしている。ただ、同日午前10時30分の更新では、ログインページの停止により、パスワードのリセットはできない状態だと説明した。

　6日午前3時30分（同。日本時間同日午後5時30分）の更新では、KYTとアドレススクリーニングのアクセス復旧を段階的に始めたとした。復旧にあたり、信頼するIPアドレスを許可リスト用に同社へ送るよう求めている。アクセスが戻った後は、全ユーザーがパスワードをリセットし、必要に応じてAPIキーをローテーション（更新）する必要がある。

　ReactorとData Solutionsの復旧時期は示していない。ほかのシステムで同じパスワードを使い回している場合は、そちらも変更するよう勧めている。