自社でどれだけ対策をしていても、使っているサービスの提供元が侵入されれば、被害は利用者の側に及びます。経緯を整理し、仮想デスクトップやVPSを業務で使う会社が確かめることを書きます。

何が起きたか

GMOインターネットは、FXの自動売買などに使われる仮想デスクトップ型のVPS「お名前.com デスクトップクラウド」が第三者の不正アクセスを受けたとして、10月21日から全プランのサーバーを止めており、影響の可能性があるサーバーは26,739台と発表しています。サーバー内の取引ツールや口座の認証情報が見られた可能性があり、利用者からは身に覚えのない取引の報告が寄せられたほか、攻撃者を名乗る者は金銭を要求し、応じなければ利用者のPCの情報の公開とランサムウェア攻撃を行うと予告しました。同社は要求に応じない方針で、10月27日正午より前に利用者自身のPCをネットワークから切り離して電源コードを抜くよう求め、同日12時30分には会社と顧客の情報と称するものが公開されたことを確認しています（同社発表、Impress Watch、BleepingComputer）。

なぜ自社に関係があるのか

  • *提供元が侵入されると、利用者の対策では防げない。**利用者がパスワードを強くしていても、サーバーそのものが侵入されれば、サーバーに保存していた認証情報は見られます。同社は口座や取引ツールのパスワードを、FX取引に使っていない端末から変更するよう求めています。侵入された環境の中で変更すると、新しいパスワードも見られるおそれがあるからと考えられます。
  • *手元のPCまで止めることになった。**同社は協力を申し出た利用者のPCを全国で預かり、マルウェアが仕掛けられていないかを解析しています。リモートデスクトップで接続する使い方では、設定によって、接続先のサーバーから手元のPCのドライブやクリップボードに触れられます。侵入の経路や手元のPCへの影響は調査中で、27日午後の時点でランサムウェアの攻撃は確認されていないとしています。それでも、提供元の事故が自社の端末の停止にまで広がりうることは、外部サービスの管理で見落とされやすい点です。
  • *公開された情報を見に行かない。**同社は、情報が公開されたサイトにアクセスした人の情報は攻撃者に取得されているとして、アクセスも拡散もしないよう呼びかけています。補償を装う連絡や、攻撃者を名乗るメッセージにも注意が必要です。
  • *国の措置につながるか。**同社は10月24日、政府関係機関に能動的サイバー防御の適用を要請しました。10月1日に運用が始まった制度で、攻撃に使われるサーバーの無害化が実施されれば国内で初めての例になります（INTERNET Watch、関係閣僚会議の記事）。

明日やること

  • 使っている仮想デスクトップとVPSを洗い出す。部署や社員が個別に契約しているものも含め、どの業務がどの提供元のサーバーで動いているかを一覧にする（シャドーITとは）
  • サーバーに認証情報を置かない。接続先のサーバーやそのブラウザに、口座や管理画面のパスワードを保存しない。保存しているなら別の端末から変更し、多要素認証を設定する
  • リモートデスクトップの共有設定を見直す。ドライブとクリップボードの共有が業務に必要かを確かめ、不要なら無効にする
  • 「端末を止めてほしい」と言われたときの手順を決める。誰が判断し、何時間で全員に伝えられるか。先にバックアップを取る順番も含めて、初動対応の手順に書き足す
  • 社内に周知する。公開された情報を見に行かないこと、補償をうたう連絡のリンクを開かないことを伝える

もっと知るには

身代金を要求する攻撃の全体像はランサムウェアとは、漏れた認証情報が別のサービスで使われる仕組みはパスワードの使い回しはなぜ「全滅」につながるのかで解説しています。

出典

GMOインターネットお名前.com不正アクセスランサムウェアVPS