📡 Signal｜NEC の委託先経由で顧客システムに侵入、サーバーを暗号化

NEC は10月20日、システム開発と保守を委託している企業が9月下旬にサイバー攻撃を受け、盗まれた正規アカウントの認証情報を使って、NEC の顧客のシステムに不正アクセスが行われたと公表した。顧客のサーバー内のファイルが暗号化されて各種システムが使えなくなり、NEC と顧客、委託先が情報共有に使っていたクラウドストレージのファイルも漏えいした。

入り口は NEC 本体ではなく、その委託先だった。攻撃者は委託先の端末から、正規のアカウントで顧客の環境に入った。国家サイバー統括室が10月9日の注意喚起で挙げた、防御の弱い委託先を足掛かりに標的へアクセスを広げる手口が、大手の IT ベンダーの取引の連鎖の上でそのまま起きた。

正規のアカウントで、委託先の端末から

NEC の公表による被害は 2 つに分かれる。

システムの停止: 顧客のシステム環境に、委託先の端末から正規アカウントを使った不正アクセスが行われた。サーバー内のファイルが暗号化され、各種システムが利用できない状態になった
情報の漏えい: NEC が作り、顧客と NEC、NEC と委託先など関係者の間で情報共有に使っていたクラウドストレージ内のファイルが漏えいした。ファイルには、顧客が持つ個人情報やシステム関連の情報が含まれていた

影響のあった複数の顧客には個別に連絡済みだという。ITmedia NEWS によると、20日の時点で委託先の社名、影響を受けた顧客の名前、漏えいした件数は明らかにされていない。漏えいした個人情報の詳細は、判明しだい顧客に報告するとしている。

正規のアカウントが使われたことの意味は大きい。パスワードを破る攻撃や見慣れない場所からの接続であれば、検知の網にかかりやすい。保守のために日常的に使われている委託先のアカウントが、いつもの端末から入ってくる場合、それが攻撃だと見分けるのは難しい。

共有のための場所が、漏えいの場所になった

もう 1 つの論点は、漏えいしたのがクラウドストレージだったことだ。システム開発と保守では、設計書や設定の情報、検証のためのデータを発注者、ベンダー、その委託先の間でやり取りする。そのための共有の場所は、関係者が多いほど便利になり、同時に、誰か 1 人の認証情報が盗まれれば中身がまとめて外に出る場所にもなる。

統括室の注意喚起は、サプライチェーンを通じた侵害への対策として、委託先に渡す情報を必要最小限にすること、業務が終わった後に委託先でデータを削除すること、委託先に与えるアクセス権を管理することを挙げた。さらに、再委託先を含めた管理の状況を把握するよう求めている。顧客から見れば、NEC は委託先であり、今回の入り口はその先の委託先だった。管理の責任が 2 段の連鎖をたどって問われる形になる。

NEC は再発防止として、委託先に NEC が管理する端末を貸し出すなどの対策を進めていると説明し、委託先の管理と個人情報の管理を強めるとしている。委託先の手元の端末を発注側が管理するという対策は、正規アカウントの悪用という今回の入り口に直接向き合うものだ。

次に見るもの

確認先は NEC の公式サイトの続報だ。見るべきは、影響を受けた顧客の業種と数、漏えいした個人情報の件数、そして暗号化されたシステムの復旧の時期の 3 点になる。顧客が自治体や公共機関、金融機関であれば、各組織が自ら公表する可能性が高い。今週から来週にかけて、NEC を名指しした「委託先のさらに委託先」を経由する障害の公表が、どの組織から出るかを追う。

ことば

サプライチェーン攻撃 — 標的そのものではなく、取引先や委託先など守りの弱いところを入り口にして本来の標的に届く攻撃。今回は NEC の委託先を足掛かりに、NEC の顧客のシステムが狙われた。
正規アカウントの悪用 — 盗んだ ID とパスワードなどの認証情報で、本来の利用者になりすましてシステムに入る手口。普段どおりの操作に見えるため、不正な侵入より見つけにくい。
再委託 — 業務を受けた企業が、その一部をさらに別の企業に委ねること。発注者から見ると、契約相手の先にもう 1 段の取引先がいる。統括室の注意喚起は、再委託先まで含めて管理の状況を把握するよう求めている。

🔗 一次ソース

正規のアカウントで、委託先の端末から

共有のための場所が、漏えいの場所になった

次に見るもの

ことば

Related articles