事例S=1:500S=1:100
コロニアル・パイプラインのランサムウェア被害：侵入経路と経過
使う予定のなくなった古い VPN のプロファイルが、パスワードだけで守られたまま残っていた。
1 概要
2021年5月7日、コロニアル・パイプラインは IT システムでランサムウェアを見つけ、予防のため米国東海岸最大の燃料パイプラインを止めた。再開は5月12日に始まった。CEO は上院で、攻撃者が使ったのは使う予定のない古い VPN プロファイルで、認証はパスワードだけだったと証言した。
推定原因: 使う予定のなくなった古い VPN のプロファイルが、パスワードだけで守られたまま残っていた。
出典: 米国上院 国土安全保障・政府問題委員会 Testimony of Joseph Blount, President and Chief Executive Officer Colonial Pipeline Company
パスワードが流出パスワード集に含まれていたという情報はセキュリティ企業から報道経由で出たもので、コロニアル自身の説明ではないため、ここでは扱わない。
S=1:100 2 事実情報
2.1 侵入口
ジョセフ・ブラント CEO は上院への書面証言で、攻撃者は「使われる予定のなかった古い VPN（仮想プライベートネットワーク）のプロファイル」を悪用したと考えていると述べた。公聴会では、そのアカウントに多要素認証がなかったことを認めている。
出典: 米国上院 国土安全保障・政府問題委員会 Testimony of Joseph Blount, President and Chief Executive Officer Colonial Pipeline Company
- 製品
- 記載なし
- CVE
- 記載なし
2.2 侵入後
ランサムウェアは IT システムを襲った。コロニアルは被害を封じ込めるため、自らパイプラインの運転を止めた。
2.3 被害
パイプラインは約5日間止まった。会社は身代金を支払い、のちに米司法省がその一部を回収した。
2.4 経過表
| 時刻 | 主体 | 出来事 | 出典 |
|---|---|---|---|
| 2021-05-07 | 会社 | ランサムウェアを発見し、パイプラインを停止。同日朝に FBI へ連絡。 | BankInfoSecurity |
| 2021-05-12 | 会社 | パイプラインの再開を始める。 | 米国上院 国土安全保障・政府問題委員会 |
| 2021-06-08 | CEO | 上院で証言。侵入口は古い VPN プロファイルとみられる。 | 米国上院 国土安全保障・政府問題委員会 |
S=1:100 3 分析
| 項目 | 判断 | 出典 |
|---|---|---|
| VPN プロファイルは使う予定のない古いものだった。 | 記載 | 米国上院 国土安全保障・政府問題委員会 |
| そのアカウントに多要素認証はなかった。CEO はパスワード自体は複雑だったと述べている。 | 記載 | BankInfoSecurity |
| 攻撃者がどうやって認証情報を得たか。会社はまだ調査中だとした。 | 不明 | 米国上院 国土安全保障・政府問題委員会 |
S=1:100 4 結論
CEO は、攻撃者は多要素認証のない古い VPN プロファイルを使った可能性が高く、認証情報の入手方法はまだ調査中だと証言した。
S=1:100 5 再発防止策
提言・実施の主体: 会社（実施した対応）
- 古い VPN プロファイルを廃止する。
- 全社で防御の層を追加する。
出典: BankInfoSecurity Colonial CEO at Senate Hearing Details Ransomware Attack
出典
出典: 米国上院 国土安全保障・政府問題委員会 Testimony of Joseph Blount, President and Chief Executive Officer Colonial Pipeline CompanyBankInfoSecurity Colonial CEO at Senate Hearing Details Ransomware Attack