「IDCFクラウド」が不正アクセスの調査結果公開、データ流出は「ありませんでした」（INTERNET Watch）

「脆弱性」って、ソフトウェアのバグみたいなもの？それをなぜ攻撃者は知ってるの？

脆弱性とバグは似てるんですが、決定的に違う点は「悪用されるかどうか」。バグは単なる不具合ですが、脆弱性はセキュリティの隙をついた不具合。攻撃者がそこを通じてシステムに侵入できるレベルの問題のことです。 では、なぜ攻撃者は知ってるのか。それはオープンソースソフトだからなんですね。ソースコードが公開されているので、セキュリティ研究者も、攻撃者も、誰もが見ることができる。脆弱性が発見されて修正パッチが出ても、その修正内容を見れば「どこが弱点だったのか」が丸わかり。逆算して古いバージョンを狙う。IDCFクラウドも、パッチを当てるまでの間に侵入されてしまったのかもしれません。 つまり、オープンソースは透明性がある分、誰かが脆弱性を見つけた瞬間、世界中の攻撃者もそれを知ることができる。修正が早いほど被害は防げますが、対応が遅れると一気に狙われるという綱渡りの状況にあるわけです。

このクラウドサービスを使ってない企業でも、同じオープンソースソフトを使ってたら同じ攻撃を受ける可能性があるってこと？

その可能性は十分あります。IDCFクラウドが狙われた脆弱性は、オープンソースソフトウェア自体の問題なので、同じソフトを同じバージョンで使っている限り、どの企業も同じ穴を持っているわけです。 ただ、現実にはそこから先が分かれます。脆弱性が公開されると、セキュリティ研究者だけでなく悪意ある人間も気づくため、修正パッチが出ても「まだ適用していない」企業は危ない。IDCFクラウドの場合、認証システムという重要な部分に使われていたのに更新されていなかったのが問題だったと考えられます。 つまり同じオープンソースを使っていても、脆弱性情報をキャッチして迅速にパッチを当てている企業と、そうでない企業で明暗が分かれるんですよ。記事にもあるように、IDCFクラウドは今後「脆弱性診断の対象範囲をオープンソースソフトウェアにも拡大」すると言っています。これは「これまで見落としていた」という反省の表れでもあります。業界全体で、外部のツールと同じくらいの監視が必要になってきているのかもしれません。

10月7日から今日まで、3週間以上サービスが止まったままってこと？その間、495の企業はどうやって仕事してたの？

記事を読むと、確かに10月7日から今日まで完全には復旧していないようですが、実は段階的な再開が進行中なんですよね。現在は「第1段階」で、仮想サーバーの起動・停止やセキュリティ設定の変更といった主要機能については、IDCフロンティア側が代行する形で対応しています。つまり完全に止まっているわけではなく、利用企業が直接操作できないだけ、という状態。 ただ、代行対応での運用は想像以上に煩雑です。新規サーバー作成や性能変更といった複雑な操作は第2段階まで待つことになるので、そうした要望があれば対応が遅れる可能性は高い。495社というのはかなり広い範囲ですから、なかには「このまま復旧待ちでは事業継続できない」と判断し、他のクラウドプロバイダーへ急遽移行した企業も少なくないのかもしれません。最終的な第3段階での完全復旧までにどれだけ時間がかかるのかが、この先の実際の被害規模を左右しそうです。

『データは流出してないけど、個人情報は71社分が不正に見られた』『パスワードも4件変更されてた』って、これ本当に『被害なし』って言える状態なの？

良い質問ですね。— いや、ここはそう言わずに、疑問の核に入ります。 「データ流出なし」と「個人情報の不正アクセス」は、被害の種類が別だからこそ、並行して起きたわけですね。 仮想サーバー内のデータ（顧客のビジネスデータとか、機密情報とか）が盗まれたかどうかが、攻撃者にとって「売れるか売れないか」の分水嶺。だから、そこが流出していなければ「身代金を払わせるネタがない」と言えます。パスワードや個人名が見られたのは、確かに重大ですが、攻撃者が外部に売却したり悪用したりする直接的な利益にはなりにくい。 ただし、あなたの指摘は正しい。4件のパスワードが改ざんされたのは、アクセス権が確保されていた証拠。今後の追加攻撃に使える足がかりが残されている可能性も低くない。「調査が終了した」と発表しても、背後での脅迫や二次的な要求が起きないとは保証できません。 つまり、被害の大きさと「言える範囲」がズレてるんです。企業としては「流出なし」が強気の発表になるけれど、利用者にとっては「まだ完全には安心できない状態」かもしれません。

身代金を払わなかったから被害が最小限で済んだのか、それともこの攻撃者は最初から身代金目的じゃなかったのか、どっちなんだろう？

記事からは攻撃者の意図は直接には分かりませんが、背景を補えば一つの仮説が浮かびます。 ランサムウェア攻撃には大きく二つのパターンがあります。一つは「身代金目的」で、データを暗号化して復旧と引き換えに金銭を要求するもの。もう一つは「データ売却目的」で、盗んだ情報をダークウェブで売ることが本来の狙い。今回は「データ流出がない」という調査結果が出ています。 もし攻撃者が最初からデータ抜き出しを狙っていなかったなら、身代金交渉に至らない可能性があります。逆に身代金狙いなら、通常は接触してくるもの。記事に「同社は攻撃者と接触していない」とあるのは、むしろ攻撃者の側が交渉を切り出さなかった兆候と言えそうです。 つまり、身代金を払わなかったから被害が最小限というより、最初からデータ流出を目的としていなかったか、あるいは企業側の迅速な対応（全リージョンの即時遮断）で、攻撃者が次のステップに進めなかった可能性が高いと考えられます。