ソフトバンク子会社のIDCフロンティアが提供する「IDCFクラウド」で10月7日に起きたランサムウェア被害について、同社は10月27日の第7報で調査の完了を公表しました。影響は495の企業・自治体に及び、原因は認証システムで使われていたオープンソースソフトウェアの脆弱性だったとされています。なぜこれほど大きな影響が出たのか。公表内容をもとに経緯と今後のポイントを整理します。
IDCFクラウドで何が起きたのか
障害が起きたのは10月7日の午前3時40分ごろで、東日本リージョン1が対象でした。同日のうちに不正アクセスがあったと発表され、夜の第2報でランサムウェア攻撃と公表されています。茨城県庁などのWebサイトが閲覧できなくなったほか、物流会社の入出荷が止まったとも報じられました。
翌8日の第3報では、対象は東日本リージョン1の4ゾーンで、データの取り出しや復元が難しい見通しだと説明されました。復元できるのは利用者自身が取っていたバックアップのみ、という厳しい内容です。
原因は何だったのか
10月27日の第7報によると、利用者向け管理画面「IDCFクラウドポータル」の認証システムで使われていたオープンソースソフトウェアの脆弱性が悪用されました。攻撃者は管理者権限を不正に取得し、仮想サーバーを停止させたうえで暗号化したということです。なお、対象のソフトウェアや脆弱性の具体名は公表されていません。
ポータルでは最大71社の登録情報が不正に照会され、パスワードの不正変更も最大4件確認されました。一方で、会社は外部への持ち出しの痕跡は確認されなかったとしています。身代金の支払いや交渉は行っていないとも明記されました。
影響と利用企業の対応はどうなったか
10月14日の第5報では、スナップショット機能を使っていた194の利用者がバックアップからデータを取り出せると発表されました。その後この数は増え、第7報の時点で206の利用者になっています。つまり、残りの利用者は自前のバックアップに頼るしかない状況でした。
東日本リージョン1はネットワークから遮断されて停止したままで、ポータルも新しい環境で作り直し、3段階で再開する方針です。再開時期は公表されていません(10月30日時点)。
また、脆弱性は見つかってから悪用されるまでの時間が短くなっています。使っているソフトウェアの一覧を把握し、修正が出たらすぐ適用できる体制を整えておくことが、被害を小さくする近道になります。
今後の再発防止と、企業が学べること
同社は、脆弱性診断の対象をオープンソースにも広げる、ソフトウェア構成情報(SBOM)を一元管理して脆弱性情報との照合を自動化する、多要素認証を必須にする、といった対策を挙げています。
利用企業の側にとっての教訓は、クラウドに預けていてもバックアップは別の場所に持つという基本です。今回は、バックアップの有無がそのまま復旧の可否を分けました。
今回の被害は、ランサムウェアが大企業だけの問題ではなく、クラウドを使うあらゆる組織に関わることを示しました。自社のデータがどこにあり、障害時に誰が復旧の責任を負うのか。契約や運用を見直すきっかけにしたいところです。
まとめ
IDCFクラウドの被害は、495の企業・自治体に影響した大規模なものでした。原因は認証システムのオープンソースソフトウェアの脆弱性とされ、身代金の支払いはなかったと公表されています。復旧と再発防止は道半ばです。最新の状況は、IDCフロンティアの公式発表で確認してください。
コメント