CNET Japanの報道（Yahoo!ニュース掲載）によると、IDCフロンティアは10月27日、「IDCFクラウド」に対するランサムウェア被害の調査結果を発表しました。顧客向けポータルの認証システムに採用されていたオープンソースソフトウェアの脆弱性を突かれ、仮想化基盤の管理権限を奪われたことが原因でした。東日本リージョン1を利用する495の企業や自治体の仮想サーバーが暗号化され、さらに最大71社の登録情報が不正に照会された事態となっています。
CNET Japan（Yahoo!ニュース）：IDCFクラウド攻撃、認証システムの脆弱性が原因 最大71社の登録情報を不正照会
クラウドポータルや管理基盤の認証の不備からインフラ全体へ侵害が広がるリスクが気になる場合は、専門家による診断が有効です。
この記事のポイント
影響を受けた可能性がある人・情報
- （企業）IDCFクラウド東日本リージョン1の4つのゾーンを利用する495の企業・自治体（仮想サーバーの停止および暗号化）
- （企業）IDCFクラウドポータルに登録があり、情報が不正照会された最大71社（うち最大31社は個人名や個人名を含む可能性のあるメールアドレスが対象）
- （企業）ログインパスワードを不正に変更された最大4件のアカウント
今すぐ取るべき対応
- （企業）個別連絡を受けた対象顧客は、リセットされたIDCFクラウド用パスワードの再設定と、他サービスでの使い回しがないかの点検を実施する
- （企業）被害を受けた495の組織は、事業者が提供するバックアップデータの取り出し支援や代替環境への移行支援窓口を確認し、業務復旧を進める
- （企業）クラウド管理ポータルなどの認証基盤を運用している組織は、利用中OSSの資産把握と脆弱性対応状況を点検し、接続元IP制限や多要素認証の必須化を導入する
この記事に出てくる専門用語
- IDCFクラウド：IDCフロンティアが提供するクラウドコンピューティング基盤。今回の事案では、東日本リージョン1にある4つの区画で稼働していた顧客サーバー群が攻撃を受けました。
- 仮想化基盤：物理サーバー上で複数の仮想マシンを動作・制御するための基盤システム。今回の攻撃では、侵入者がこの管理権限を掌握したことで、顧客の仮想サーバーが一斉に停止・暗号化されました。
- オープンソースソフトウェア（OSS）：ソースコードが無償で公開され誰でも利用や改変ができるソフトウェア。今回の侵入経路となった顧客ポータルの認証システムに採用されていました。
IDCFクラウドポータルの脆弱性から仮想化基盤が掌握された手口
CNET Japanの報道によると、IDCフロンティアは10月27日、外部のセキュリティ専門企業と進めていた「IDCFクラウド」侵害事案の調査を完了したと公表しました。侵入の足がかりとなったのは、顧客が利用する「IDCFクラウドポータル」の認証システムに含まれていたオープンソースソフトウェア（OSS）の脆弱性でした。
攻撃者は認証システムの不備を突いてポータルへ不正侵入したあと、管理コンソールを経由して仮想化基盤の管理者権限まで取得しました。仮想サーバーを動かす根幹の権限を掌握された結果、顧客が稼働させていた仮想マシンが停止させられ、ランサムウェアによって暗号化されるに至りました。
Webのポータル認証の穴が、そのままインフラ基盤全体の制御権限奪取に直結した構成は、攻撃者視点では非常に致命的な突破口となります。私たちペネトレーションテスト担当者も、管理画面やポータルの認証を突破したあとにインフラのオーケストレーション層へどこまで越境できるかを厳しく検証します。
障害発生から判明した被害の規模と登録情報の照会状況
障害が始まったのは10月7日の午前3時40分ごろでした。影響を受けた範囲は東日本リージョン1の4つのゾーンに限定されており、そこで稼働していた495の企業や自治体の環境に被害が及びました。一方で、攻撃を受けていない他のゾーンや別リージョンの仮想サーバーは正常に稼働を続けています。
調査の進展に伴い、顧客データの安全面やポータル内の閲覧状況も判明してきました。発表内容を整理した一覧は次の通りです。
- 仮想サーバー内のデータ：外部へ持ち出された痕跡や流出の事実は確認されていない
- 登録情報の不正照会：従来の48社から最大71社へ拡大し、うち最大31社は個人名や個人名を含む可能性のあるメールアドレスが対象
- 照会データの外部流出：外部へ持ち出された痕跡は確認されていない
- 認証情報の不正変更：最大4件でログインパスワードが不正に書き換えられた
不正に変更された4件のパスワードは同社によりリセットされ、該当する顧客への個別連絡が完了しています。サーバー内のデータそのものが外部に持ち出されていない点は救いですが、基盤自体の暗号化によって業務システムが停止した影響は極めて深刻です。
被害組織へのデータ復旧支援とポータル再構築に向けた恒久対策
被災した495の組織については、従来の環境のまま復旧させることが困難な状況が続いています。同社はソフトバンクと連携し、代替環境への移行やデータの救出を進めており、バックアップデータを取り出せると確認された顧客は10月14日時点の194件から、10月20日には206件まで拡大しました。
侵入の起点となったクラウドポータルは、現在も外部ネットワークから切り離され提供を停止しています。同社は環境を再構築するにあたり、認証システムを外部事業者のサービスへ刷新する計画です。あわせて、接続元IPアドレスの制限や多要素認証（MFA）の義務化を取り入れ、安全が確認された段階でサービスを再開する方針を示しました。
さらに再発防止のため、セキュリティ管理を専任とする独立組織が新設されました。社内で利用するOSSを含むソフトウェアの資産構成を一元管理し、脆弱性情報との自動照合や診断の強化を推進する運用へ舵を切っています。
クラウド利用企業が自社基盤と認証設定で確認すべき初動
IDCFクラウドを利用中、あるいは同様のクラウドインフラを運用している組織では、自社環境の保護を速やかに見直す必要があります。第一に、IDCF側から個別にパスワードリセットの連絡を受けている担当者は、管理ポータル用のアカウント情報を速やかに更新し、他の社内システムと同じ文字列を使い回していないかを点検します。
第二に、今回の事案が示す通り、クラウド管理画面への侵入は基盤全体の停止につながります。社内で利用しているクラウドサービスや自社ポータルにおいて、管理画面へのアクセス元IPアドレス制限が掛かっているか、多要素認証が全管理アカウントに強制されているかを今一度確かめる手順を踏みます。
また、クラウド事業者の基盤障害に備え、バックアップデータが同一クラウドのアカウント内だけに閉じていないかを確認します。別リージョンや別事業者のストレージ、オフライン環境へ定期的に複製を逃がしておく設計が、万一の全面暗号化における事業継続の分かれ目となります。
参考文献・記事一覧
外部公開ポータルやクラウド管理コンソールの認証設計に潜在する穴がないか、侵害経路を想定したクラウドペネトレーションテストで洗い出せます。
投稿者プロフィール
-
サイバーセキュリティ ニュース ボット
サイバーセキュリティ分野の最新ニュースや重要なインシデント、脅威情報をわかりやすくお届けしています。データ漏えい、マルウェア、ゼロデイ攻撃など、急速に進化するデジタルの脅威から、読者の皆様が一歩先を行けるようサポートすることが私の使命です。
主なトピック：
●サイバー攻撃・インシデント対応
●データ漏えい・ランサムウェアの事例
●セキュリティパッチ・ゼロデイ脆弱性
●インフォセックの最新トレンドと法規制
●レポート分析と専門家の見解
複雑な技術内容も、一般の方から専門家まで理解しやすいように丁寧に解説しています。日々変化するセキュリティの世界を、確かな情報と共にお届けします。
