深刻度を増すランサムウェア攻撃、今度はITサーヴィス企業の顧客もまとめて標的に

いまやサイバーセキュリティにおける2大脅威となったサプライチェーン攻撃とランサムウェア攻撃が、合体して大混乱を引き起こす事態は恐らく避けられなかったことだろう。7月2日（米国時間）の午後に起きたことは、まさにそれだった。悪名高き犯罪グループ「REvil」が（どうやらITシステムを管理するソフトウェアに侵入したことで）数百社ものファイルを一挙に暗号化することに成功したのである。しかも、これはほんの始まりにすぎない。
状況は徐々に明らかになっている最中であり、いまだに詳細は不明である。なかでも最も重要なことは、そもそも攻撃者がどうやってソフトウェアに侵入したかだろう。とはいえ、すでに大きな影響が出ており、ターゲットの性質を考えれば被害がますます深刻になっていくことは必至である。
MSPが狙われた理由
問題となったソフトウェア「Kaseya VSA」は、企業にITサーヴィスを提供するマネージド・サーヴィス・プロヴァイダー（MSP）の間で人気が高い。ITインフラの運営を外部委託したいと考える考える企業に、こうしたサーヴィスを提供する際に使われるソフトウェアだ、
つまり、ひとつのMSPのハッキングに成功すれば、その顧客全員のデータにアクセスできるようになる。つまり、貸金庫を一つひとつ破るよりも、銀行の支店長がもつマスターキーを盗んだほうが話が早い、というわけだ。
セキュリティ企業のHuntressによると、これまでのところREvilは8つのMSPをハッキングしたという。データが暗号化されている状態を7月2日に発見した企業は、Huntressが直接関与している3つのMSPの顧客だけでも200社にもなる。Kaseyaが広く使われていることを考えれば、被害がさらに拡大するであろうことは想像に難くない。
「Kaseyaはリモートマネジメント界のコカ・コーラのようなものなのです」と、インシデント対応を専門とするBreachQuestの最高技術責任者（CTO）のジェイク・ウィリアムズは言う。「米国は祭日と重なる週末に入るので、週明けの火曜か水曜にならないと被害者がどれだけいるのかすらわからないでしょう。それでも、とてつもない数になるでしょうね」
以前からMSPは、特に国家主導のハッカーには人気のターゲットだった。MSPを攻撃できれば、極めて効率的にスパイ活動を展開できる。
例えば、2018年に司法省の起訴状に示されたように、中国の精鋭スパイ集団「APT10」はMSPに不正侵入し、数十に上る企業から数百ギガバイトのデータを盗み出した。REvilもMSPを標的にしたことがあり、19年にはそれを足がかりにサードパーティーのIT企業に入り込み、テキサス州の22の自治体を一挙に乗っ取った。
サプライチェーン攻撃は、ますますありふれたものになりつつある。特に2020年は、SolarWindsに対して破壊的な作戦が実施され、いくつもの米政府機関と無数のその他の被害者にロシアがアクセスできるようになった。サプライチェーンのハッキングにも、MSPに対する攻撃と同じようにかけ算のような効果がある。ひとつのソフトウェアの更新が汚染されると、被害者の数は数百単位に上りかねないのだ。
指数関数的な影響
以上のことから、MSPを標的にしたサプライチェーン攻撃がなぜ指数関数的な影響を及ぼす可能性があるのかわかるだろう。そこにシステムを麻痺させるランサムウェアが投入されれば、状況はさらに困難なものになる。同じくサプライチェーンのセキュリティ侵害を利用し、当初はランサムウェアのように見えながら実はロシアによる国家的な攻撃だった「NotPetya」による深刻な攻撃を思い起こさせる。最近のロシアによる作戦も同様だ。
「これはSolarWindsの事例と同じです。ただし、ランサムウェアが使われています」と、アンチウイルスソフトウェア企業Emsisoftの脅威アナリストのブレット・キャロウは言う。「ひとつのMSPが侵害されただけで、数百のエンドユーザーに影響が及ぶことがあります。今回のケースでは複数のMSPが侵害されたようですから…」
BreachQuestのウィリアムズによると、REvilは被害企業に対して仮想通貨（暗号通貨、暗号資産）の「Monero（モネロ）」でおよそ45,000ドル（約500万円）相当を要求しているという。1週間以内に支払わなかった場合は、要求額が2倍になる。
セキュリティニュースサイトの「BleepingComputer」によると、REvilは一部の被害者に対して「暗号化されたネットワークのすべてのPC」を解除する復号キーと引き換えに500万ドル（約5億5,000万円）を要求しているという。これは顧客ではなく、MSPを標的にしている可能性がある。
「わたしたちはMSPについて、多くの中小企業や組織の“母船”にたとえることがよくあります」と、Huntressのシニアセキュリティリサーチャーのジョン・ハモンドは言う。「しかし、もし攻撃されたのがKaseyaであれば、犯罪者はKaseyaのすべての母船を侵害したことになります」
この攻撃を実行したハッカーたちがどれだけ価値ある足がかりを築いたかを考えると、ランサムウェアの使用を選択したことは、むしろ驚くべきことかもしれない。「MalwareHunterTeam」として活動しているセキュリティ研究者は、「ランサムウェアを展開するためにアクセスをすぐに停止させるのは賢いやり方には思えません」と語る。
例えば、国家主導の集団であれば、こうした足がかりはスパイ活動をする上で途方もない価値があると考えるだろう。すぐに爆破してしまうにはあまりに惜しい、素晴らしい“トンネル”を掘ったのである。
パッチの作成に動いたKaseya
最初の侵害がどのように起きたのかは、まだわかっていない。だが、これまでのところKesaya VSAを自社の設備で運用（オンプレミス）している企業だけに影響が及んでいるようだ。クラウドでSaaSとして使用している企業は、影響を受けていないようである。
「わたしたちはVSAに対する攻撃の可能性について調べていますが、ひと握りのオンプレミスの顧客に限られていたようです」と、Kaseyaのコーポレートコミュニケーション担当シニアヴァイスプレジデントのデイナ・リードホルムは言う。「わたしたちは念のためにSaaSサーヴァーを自ら停止しました」
これは、Kaseyaが顧客に向けて7月2日午後に出した通知の内容と一致する。「当社は今回の事件の根本的な原因を慎重に調査している最中ですが、当社から改めて通知を受け取るまでは『ただちに』VSAサーヴァーを停止することをおすすめします」 と、同社は記している。「攻撃者が最初にすることのひとつは、VSAへの管理者アクセスを遮断することです。このため、ただちにサーヴァーを停止することが極めて重要です」
記事の執筆時点では、Kaseya自身のVSAサーヴァーもまだオフラインのままである。Kaseyaの最高経営責任者（CEO）フレッド・ヴォッコラは2日夜にメールで声明を出し、同社のSaaSの顧客は「一度も危険に晒されていない」ことを確認するとともに、24時間以内にサーヴィスを復旧できると見ていると説明した。
Kaseyaは脆弱性の原因をすでに突き止めており、標的になる恐れがあるオンプレミスの顧客のためにパッチの作成にとりかかっているという。また、被害に遭った顧客数は全世界で「40未満」と推定しているが、すでに説明したようにハッカーはひと握りのMSPの被害者を足がかりに桁違いの数の標的に手を伸ばすことができる。
最初の侵害がどのようにして起きたにせよ、攻撃者はマルウェアのパッケージをMSPに配布することに成功した。このパッケージにはランサムウェア本体に加えて「Windows Defender」のコピーと、期限が切れているもののまだ失効していない合法的に署名された証明書が入っている。このパッケージはサイドローディングと呼ばれる手法でWindowsのマルウェアチェックを回避するように設計されており、結果としてランサムウェアの実行が可能になる。
米国土安全保障省のサイバーセキュリティ・インフラストラクチャー・​セキュリティ庁（CISA）から2日遅くに出された通知も、根本的な原因を明らかにしていない。「CISAはKaseya VSAおよびVSAソフトウェアを採用している複数のMSPに対する今回のサプライチェーン・ランサムウェア攻撃を理解して対処すべく行動しています。CISAは各組織がKaseyaの勧告を確認し、その助言に従ってただちにVSAサーヴァーを停止することを推奨します」と、同庁は説明している。
ランサムウェアの進化の「次」
不可解なことのひとつは、REvilがなぜこのようなやり方をしたのかである。だが、満足できる答えが示されることは決してないだろう。多くの被害者が身代金を払えば、REvilは莫大な利益を得ることができる。しかし、数百の企業を一度に攻撃することで、5月に「Darkside」がコロニアル・パイプラインに対して実施したランサムウェア攻撃のように、自身に途方もない注目を集めることにもなった。
数百社の企業のファイルが暗号化されたことが、どのような連鎖反応を起こすのかも現時点では不明である。なかでもこの攻撃は、米国では7月4日の祭日を伴う連休を控えて多くの企業が人手不足になるタイミングで実施されたからだ。要するに、REvilはそもそも自制心に富むことで知られる集団ではないにしても、信じられないほど見境のない攻撃なのである。
「非常に多くの顧客を攻撃していることを攻撃者たちは知っていたものの、その影響の全体像を予測できなかったのだと思います」と、BreachQuestのウィリアムズは言う。「大きな賭けに出ていることを連中はわかっていましたし、これだけの被害者が出れば裏目に出ないはずがありません」
それがどのようなかたちになるのかは、まだわからない。だが、いずれにしてもランサムウェアの進化の次の段階は明確に始まっており、その影響は甚大なものになるだろう。いや、すでにそうなっているのだ。
※『WIRED』によるランサムウェア攻撃の関連記事はこちら。
RELATED ARTICLES

Related Keywords

China ,Waka Tsu ,Saga ,Japan ,Thailand ,Russia ,Texas ,United States ,Jake Williams ,John Hammond ,Target Corporation ,Tee Ri Target Corporation ,Management Field ,Tuesday Or Wednesday ,Texas Province ,Corporate Communication ,Senior Weiss President ,Colonial Revival ,சீனா ,சாகா ,ஜப்பான் ,தாய்லாந்து ,ரஷ்யா ,டெக்சாஸ் ,ஒன்றுபட்டது மாநிலங்களில் ,ஜேக் வில்லியம்ஸ் ,ஜான் சுத்தி ,இலக்கு நிறுவனம் ,மேலாண்மை புலம் ,பெருநிறுவன தொடர்பு ,காலனித்துவ மறுமலர்ச்சி ,