悪用されたAWSアクセスキー

AWSのインスタンスで支払処理サービスを提供している会社がデータ侵害を受けたようです。

悪用されたのは古いAWSアクセスキーでした。

漏れたデータには、マスクされたクレジットカード番号と、ハッシュされたクレジットカード番号が含まれていました。
ハッシュはJuspayが使用しているハッシュアルゴリズムが分かる場合には復号化できるので、この場合は完全なクレジットカード番号がわかってしまうのかもしれません。
Juspayが使用しているハッシュアルゴリズムは公開されていません。

すでに利用中だったAWSアクセスキーは破棄され、さらに新しいキーを発行して利用を開始したとのことです。

この事例では、インシデント対応の順序にも改善できる点があったと考えられます。

侵害にあわないようにする対策と同様に侵害にあった場合の対応についても、事前によく検討しておくことが必要なようです。

参考記事（外部リンク）：Data breach hits Amazon, Swiggy’s payment processor, 3.5 crore card information compromised | #Databreach | Pentest | #Hacker
nationalcybersecuritynews.today/data-breach-hits-amazon-swiggys-payment-processor-3-5-crore-card-information-compromised-databreach-pentest-hacker/