精密機器メーカーの精電舎電子工業が、4月に受けたランサムウェア攻撃の詳細な経緯を公表した。侵入から暗号化実行までの16日間の記録は、中堅製造業を狙う攻撃の典型的なパターンをそのまま体現しており、同規模の企業にとって他人事ではない。
VPNからADサーバへ、気づかれない16日間 #
攻撃者は4月8日、VPN経由で社内ネットワークへ侵入した。目的はすぐの暗号化ではなく、ADサーバへのログインだったとみられる。同社は「社員の認証情報が取得されたと推測される」としており、ここで管理者権限相当の資格情報を奪われた可能性が高い。
4/8 侵入
VPN経由で社内ネットワークへ侵入。
潜伏 認証情報奪取
ADサーバにログインし、複数サーバへ横展開・スキャン。
4/22 暗号化
業務時間外を狙い複数サーバ・PCを一斉暗号化。
5/18 復旧
EDR・24時間SOC体制を整え、暫定システムで基幹業務を再開。
14日間、攻撃者は検知されないまま複数サーバへのログインとスキャンを繰り返し、暗号化対象を静かに選定していたとみられる。そして4月22日、業務時間外を狙って一斉に暗号化を実行。障害発覚は即日で、同日午前10時には緊急対策本部が設置された。
ADサーバ陥落が「実質最悪」な理由 #
ランサムウェアというと暗号化被害ばかりが注目されがちだが、実務者にとって本当に重いのは「ADサーバ上のデータが外部へ転送されたと判断」という一文だ。ADは全社の認証情報を握る心臓部であり、ここへの到達を許した時点で、暗号化の有無にかかわらず全社規模の資格情報を無効化・再発行する必要が生じる。
不幸中の幸い
顧客・取引先情報の外部転送形跡はなく、クラウド側(Microsoft 365、Kintone等)への被害も確認されていない。
VPNに多要素認証を導入していない組織はいまだ多い。単要素の入口突破からAD掌握まで一直線に進んだ今回のケースは、境界防御だけに頼る体制の限界と、AD監視・特権アカウント管理の重要性を改めて示した形だ。
COMMENTS 0
No comments yet — be the first to leave one.