コネクトワイズへの不正侵入と被害対応が明らかに
米ITサービス企業コネクトワイズは、中国政府と関係があるとされるハッカー集団によるサイバー攻撃を受け、クラウドバックアップサービスの安全性を確認する作業を進めている。
同社のマニー・リベロ最高経営責任者（CEO）は、マイクロソフトによる分析結果と自社が収集した証拠を踏まえ、中国政府との関連が指摘される集団による攻撃との認識を示した。
攻撃に関係したアプリケーション接続については、影響を抑えるための措置を実施した。サービスの復旧も管理された手順に沿って段階的に進めている。ただし、接続を遮断するだけでは、顧客のクラウド環境に残る不正アクセスを完全に取り除けないとしている。
顧客のクラウド環境に残る不正アクセスの問題
コネクトワイズが示した課題の1つは、顧客ごとに分離されたクラウド利用環境への影響である。こうした個別の環境は「テナント」と呼ばれ、今回の攻撃では、内部に不正なアクセス経路が既に確立されている可能性が問題となっている。
同社は、影響を受けたアプリケーション接続を封じ込める措置を取ったものの、それだけでは顧客環境内の不正な接続を排除できないと説明した。残存するアクセス経路の有無を確認するため、別途調査を行う必要がある。
マイクロソフトが確認した一連の攻撃でも、侵入後の処理によって攻撃者の活動を除去した後、高度なアクセス権が維持される事例があった。侵入そのものへの対応に加え、取得された権限を調べる必要性が浮き彫りとなった。
セキュリティー検証用AIツールが攻撃手段に転用
攻撃に利用された「ARTEX（アルテックス）」は、本来、システムの脆弱性を調べるためのオープンソースの侵入テストツールである。利用者がAIモデルを指定し、複数の検証作業を自動処理できる機能を持つ。
侵入テストは、ネットワークやサービスの安全性を確認する正当な技術として利用される。しかし、今回の攻撃者は、その機能を許可のないシステムへの侵入に転用していた。
ARTEXには、対象システムの調査を自動化する機能があり、設定次第で情報の持ち出しなどの処理も実行できる。今回の攻撃では、短時間に大量の操作を行う手段として使用された。
実際に確認された攻撃では、1分間に最大2900回のログインが試みられ、3時間以内に重要な管理権限が奪われた事例もあった。AIによる処理の自動化が、侵入活動の速度と規模を拡大させていた。
世界数百の組織に拡大した攻撃と国内企業の状況
コネクトワイズへの侵入は、世界各地の数百の企業や組織を対象とした攻撃活動の一部だった。マイクロソフトは10月21日、中国系ハッカー集団「ストーム0940」が9月以降に展開した一連の活動について公表した。
対象には、金融機関やエネルギー企業に加え、航空宇宙、防衛、自動車、化学、製造、半導体などの業界が含まれる。政府機関、法律関連組織、報道機関、非営利団体も標的となった。
日本では、GMOサイバーセキュリティbyイエラエが10月19日、国内約80社に向けた攻撃について調査結果を公表した。この活動でもARTEXが使用された疑いがある。ただし、日本国内の事案とストーム0940との関係は確認されていない。
復旧作業と侵入経路の調査が並行する対応状況
今回の攻撃では、サービスを正常な状態に戻す作業と、攻撃者が取得した権限を調査する作業が、それぞれ重要な対応として位置付けられている。
コネクトワイズは、問題が確認された接続への対策を講じながら、段階的なサービス復旧を実施している。一方、個々の顧客環境に不正アクセスが残されているかどうかについては、追加の確認が必要との立場を示した。
マイクロソフトの調査では、ストーム0940による攻撃の大半は成功していない。しかし、一部では高度な権限の取得に成功しており、攻撃後の除去作業だけでは対応が完了しない事例が確認された。
中国政府側は、違法なハッキング活動に反対し、法的な取り締まりを行っていると説明している。また、サイバーセキュリティーを理由とした中国への批判についても反対を表明した。