因維護IT系統的供應商遭駭，摩根史坦利成為Accellion事故受害者

自今年年初爆發的Accellion檔案傳輸解決方案（File Transfer Appliance，FTA）攻擊事故，陸續有企業出面表明是該產品的用戶，而導致遭到攻擊且資料外洩，如今又有大型金融公司坦承受害。根據資安新聞網站Bleeping Computer報導，跨國投顧公司摩根史坦利（Morgan Stanley）於7月2日發出聲明，該公司因維護StockPlan Connect服務的外部供應商Guidehouse遇害，導致108名新罕布夏州客戶的資料外洩，而原因就是Guidehouse的Accellion FTA伺服器遭到入侵。

根據摩根史坦利的公告，Guidehouse伺服器資料外洩的時間點，是在今年1月，攻擊者利用了Accellion FTA漏洞對其伺服器下手，而這個漏洞在5天內被修補。雖然摩根史坦利的資料都以加密的方式儲存，但攻擊者同時取得解密金鑰和加密的文件，而能夠讀取加密資料的內容。

而在整個供應鏈攻擊行動中，Accellion從2020年12月到2021年3月，多次發布修補程式，其中，他們在1月25日，針對CVE-2021-27102與CVE-2021-27103漏洞，推出FTA的9.12.416予以修補。換言之，Guidehouse的伺服器很可能約在1月20日遭到入侵。

不過，Guidehouse直到3月，才發現漏洞遭到濫用，並在5月察覺對於摩根史坦利客戶的影響。Guidehouse將這樣的情況進行通報，並指出這些遭竊的資料，並未發現被對外散布的證據。

摩根史坦利指出，這起事故遭到外洩的資料，包括了參與股票投資計畫的用戶姓名、地址、出生日期、社會安全碼，以及公司名稱等，但不包含密碼或是憑證。因此，攻擊者應該無法藉由竊得的資料，來存取受影響投資人的金融帳戶。

而對於這起事故，摩根史坦利也強調，自家應用程式沒有出現資料外洩的情況，他們與Guidehouse保持密切合作，且正在採取減輕客戶潛在風險的措施。