事例S=1:500S=1:100
名古屋港のランサムウェア被害：侵入経路と経過
脆弱性が確認されたリモート接続機器から不正なアクセスを受けたと考えられている。
1 概要
2023年7月4日6時30分ごろ、名古屋港の全コンテナターミナルを動かす NUTS が停止した。1時間後、システム専用のプリンタから脅迫文が印刷された。データセンター内にある NUTS の全サーバが暗号化されていた。作業再開は7月6日18時15分である。協会は、脆弱性が確認されたリモート接続機器から不正アクセスを受けたと考えられると報告した。国土交通省の委員会は、保守用 VPN 機器からの侵入と「見ることが適切」としたが、断定はできないとしている。
推定原因: 脆弱性が確認されたリモート接続機器から不正なアクセスを受けたと考えられている。
出典: 名古屋港運協会 NUTS システム障害の経緯報告 (pp.1–2)
協会の表現は「リモート接続機器」だけである。国土交通省の委員会は、ログが暗号化されたため経路を断定できないとしつつ、保守用 VPN 機器からの侵入と「見ることが適切」とした。USB メモリと港運事業者とのネットワーク連携も候補に挙げている。
S=1:100 2 事実情報
2.1 侵入口
協会は「本件についてリモート接続機器の脆弱性が確認されており、そこから不正なアクセスを受けたと考えられます」と報告した。
出典: 名古屋港運協会 NUTS システム障害の経緯報告 (pp.1–2)
- 製品
- 記載なし
- CVE
- 記載なし
2.2 侵入後
データセンター内の物理サーバ基盤と全仮想サーバが暗号化された。バックアップデータからもウイルスが検知され、復旧は1日遅れた。脅迫文に身代金額の記載はなく、協会は攻撃者に連絡していない。外部への情報漏洩の形跡は確認されていない。
2.3 被害
名古屋港の全ターミナルが7月4日6時30分ごろから7月6日18時15分まで止まり、コンテナの搬入・搬出は約3日間止まった。
2.4 経過表
| 時刻 | 主体 | 出来事 | 出典 |
|---|---|---|---|
| 2023-07-04 06:30ごろ | ターミナル | NUTS の停止を確認。 | 名古屋港運協会 |
| 2023-07-04 07:15ごろ | 協会 | システム保守会社と開発会社に復旧作業を依頼。 | 名古屋港運協会 |
| 2023-07-04 07:30ごろ | 侵入者 | システム専用のプリンタから脅迫文が印刷される。 | 名古屋港運協会 |
| 2023-07-04 09:00ごろ | 協会 | 愛知県警察本部サイバー攻撃対策隊に通報。 | 名古屋港運協会 |
| 2023-07-04 14:00ごろ | 協会 | 物理サーバ基盤と全仮想サーバの暗号化が判明。 | 名古屋港運協会 |
| 2023-07-05 12:00ごろ | 協会 | ランサムウェア感染をプレス発表。 | 名古屋港運協会 |
| 2023-07-05 21:00ごろ | 協会 | バックアップデータからウイルスを検知し、復旧が翌日にずれる。 | 名古屋港運協会 |
| 2023-07-06 07:15ごろ | 協会 | バックアップデータの復元が完了。その後ネットワーク障害。 | 名古屋港運協会 |
| 2023-07-06 18:15 | ターミナル | 全ターミナルで作業を再開。 | 名古屋港運協会 |
| 2023-07-26 | 協会 | 経緯報告を公表。 | 名古屋港運協会 |
S=1:100 3 分析
| 項目 | 判断 | 出典 |
|---|---|---|
| 保守用 VPN には接続元 IP アドレスの制限がなく、ID とパスワードさえ合えばインターネット上の誰からでも接続できた。 | 記載 | 国土交通省 |
| VPN 機器のログは取得対象になっていなかった。 | 記載 | 国土交通省 |
| 国土交通省の委員会の見方は「VPN 機器からの侵入が行われたものと見ることが適切である」。証明に使えるログが暗号化されたため、断定ではなく委員会の見方にとどまる。 | 推定 | 国土交通省 |
| 最初に侵入された日時。 | 不明 | 名古屋港運協会 |
S=1:100 4 結論
協会は、脆弱性が確認されたリモート接続機器から不正アクセスを受けたと考えられるとし、NUTS の全サーバが暗号化されたと報告した。国土交通省の委員会は、断定はしないものの保守用 VPN 機器からの侵入と「見ることが適切」とし、接続元 IP 制限の欠如と VPN 機器のログ未取得を課題に挙げた。
S=1:100 5 再発防止策
提言・実施の主体: 国土交通省 委員会
- 接続元の IP アドレスを指定し、接続元を限定する。
- 複数の要素による認証方式とする。パスワードを使う場合は12文字以上の複雑なものにする。
- アカウントロック機能を実装する。
- 通常と異なる IP アドレスからのアクセスなど、不正ログイン試行を検知する。
- ネットワーク機器のソフトウェアを定期的に確認し、確実に更新する。
- ネットワーク機器のログを定期的に取得し、システム外にバックアップする。
- 攻撃を受けたネットワーク機器は新品と交換する。
出典: 国土交通省 コンテナターミナルにおける情報セキュリティ対策等検討委員会 中間取りまとめ① 名古屋港のコンテナターミナルにおけるシステム障害を踏まえ緊急に実施すべき対応策について（案） (pp.1, 3–4, 7–8)
出典
出典: 名古屋港運協会 NUTS システム障害の経緯報告 (pp.1–2)国土交通省 コンテナターミナルにおける情報セキュリティ対策等検討委員会 中間取りまとめ① 名古屋港のコンテナターミナルにおけるシステム障害を踏まえ緊急に実施すべき対応策について（案） (pp.1, 3–4, 7–8)