中部電力に不正アクセス、連絡先情報7万4000件流出 — 侵入口は「資格情報」

中部電力は8月4日、社内システムへの不正アクセスにより役職員や取引先、自治体の連絡先情報が漏えいした可能性があると発表した。対象は氏名・役職・メールアドレス・電話番号などで、グループ役職員や委託先社員約7万1700人分、関係機関・自治体・取引先約2400人分の計約7万4100件に上る。電力・ガスの契約者情報や供給システムへの影響は8月4日時点で確認されていない。

侵入口は「資格情報の不正利用」 #

発覚のきっかけは7月29日、外部の第三者機関からの情報提供だった。調査の結果、社内システムの認証情報(クレデンシャル)が何らかの手段で窃取され、第三者による不正アクセスに悪用されていたことが判明した。中部電力は同日中に該当アカウントを無効化し、アクセス元を遮断したという。侵入手法の詳細は明かされていないが、フィッシングや情報窃取型マルウェア、他サービスからの認証情報使い回し(クレデンシャルスタッフィング)など、近年の企業侵害で定番の経路が疑われる。

OTは無事でも「攻撃の足場」は残る #

重要インフラ事業者へのサイバー攻撃というと発電・送電システムへの侵入がまず懸念されるが、今回のように管理系ネットワークの連絡先情報だけが漏れるケースも軽視できない。氏名・役職・所属先が実在の取引先や自治体職員と紐づいた形で流出すれば、なりすましメールや標的型フィッシングの精度が跳ね上がるためだ。中部電力自身も「不審なメールに注意」と呼びかけているが、これは漏れた情報が次の攻撃の"原材料"になり得ることを認めているに等しい。重要インフラの防御は発電所のOT系だけでなく、資格情報管理という地味な足場から崩れうることを改めて示した事例といえる。