投資会社を狙うサイバー攻撃が発生 出資先への被害は

投資会社は高い成長が見込まれるテクノロジー企業やソフトウェア企業に資金を投じる。ここがサイバー攻撃を受けるとどうなるだろうか。

[Rob Wright，Cybersecurity Dive]

　ITやソフトウェアの分野に対して、世界中で800社以上の企業に投資している投資会社がサイバー攻撃の被害に遭った。2025年3月にGoogleに4兆8000億円で買収されることが決まったクラウドセキュリティ業界のスタートアップ企業Wizにも投資している企業だ。

出資先は大丈夫なのか

　事件は2025年1月に始まった。

　被害に遭ったのは投資企業のInsight Partnersだ。2025年1月に、巧妙なソーシャルエンジニアリング攻撃を受けてデータを侵害された。

　同社は2025年2月18日に発表した声明で「特定の情報システムへの不正アクセスを検出した」と述べた。同社は、サイバー攻撃によって影響を受けたシステムやデータの種類に関する具体的な情報を明らかにしていない。

　声明には、次のような記載がある（注1）。

　「インシデントが検出された後、当社は数時間以内に対処、復旧、調査を開始するために行動した。ステークホルダーに通知し、警戒を促すとともに、共有データが侵害されたかどうかにかかわらず、キュリティプロトコルを強化するよう呼び掛けた。関連する管轄区域の法執行機関にも通報した」

　今回の事件はInsight Partnersが公表する以前に、ニュースメディアのCalcalistによってデータ侵害が報じられた（注2）。Insight Partnersによると、同社の業務に新たな支障は発生しておらず、2025年1月16日以降、企業のネットワーク内に攻撃者が存在していた証拠はないという。

　Insight Partnersの声明では、次のように記されている。

　「当社はサイバーセキュリティの第三者の専門家やサイバーセキュリティ領域における分析や電子情報開示手続きの専門家、外部の法律顧問の支援を受けながら、インシデントの範囲を特定するために取り組んでいる。ステークホルダーに共有した通り、これらの作業には数週間を要する見込みだ。現在判明している情報に基づく限り、投資先の企業やファンド、その他のステークホルダーに重大な影響は発生しないと考えている。調査の過程で新たな情報が得られた場合、影響を受ける関係者に直ちに通知する」

　Insight PartnersはWizの他、IT管理ソフトウェアメーカーのKaseya、IoTセキュリティベンダーのArmisなど、複数のテクノロジー企業に投資してきた。

ソーシャルエンジニアリング攻撃の詳細は不明

　サイバー攻撃がどのようにInsight Partnersを襲ったのかは不明だ。「Cybersecurity Dive」は同社にコメントを求めたが、回答はなかった。

　Insight Partnersに対するデータ侵害は、近年発生した一連の著名なソーシャルエンジニアリング攻撃に続くものだ（注3）。これらの攻撃は「Scattered Spider」や「Lapsus$」などのサイバー犯罪グループによる。多くの攻撃者が主要なテクノロジー企業のように価値の高い組織を狙っており、組織の取引先にアクセスして、ランサムウェア攻撃やデータを悪用して身代金を共有する攻撃につなげようとしている。

Tech investment firm Insight Partners discloses data breach（Cybersecurity Dive）
注1：Statement from Insight Partners on Cyber Incident（INSIGHT PARTNERS）
注2：Insight Partners hit by cyber attack with possible data leaks（Calcalist）
注3：MGM, Caesars attacks raise new concerns about social engineering tactics（Cybersecurity Dive）