はじめに
以前の記事「サイバー攻撃とは？」で、サイバー攻撃の概要と、実際に攻撃を受けた経験について紹介しました。
実は、私の会社で起きたサイバー攻撃は、Emotetによるものだけではありません。
今回は、Microsoft 365のメール送信機能に関する設定と、アカウントのパスワードの問題が重なり、メールアカウントを乗っ取られた実体験をお話しします。
実際に何が起きたのか、どのように対応したのか。そして、再発防止のために何を考えたのか。
社内SEの現場で起きた出来事を紹介していきます。
実際に何が起きたのか？
ある日のこと、内部監査部門から、特定のメールアカウントが海外の宛先に大量のメールを送信している形跡があると共有がありました。
調査の結果、メールアカウントが不正利用され、スパムメールの送信に悪用されていたことが分かりました。
確認された送信数は約300通。30通目の送信時点でMicrosoft 365側の検知が働き、メール送信が停止されました。
また、ログイン状況やメールの送信先などから、アカウントが海外から不正利用され、第三者への攻撃に悪用されていたことが判明しました。
このように、乗っ取られたアカウントを、別の攻撃を行うための中継地点として利用することを、「踏み台にする」といいます。
つまり、今回は私たちの会社のメールアカウントが、第三者による攻撃に利用されてしまったのです。
インシデント発覚後の対応
発覚後は、被害の拡大を防ぐため、関係者が連携して対応を進めました。
以下が、そのときの対応の流れです。
| 時刻 | 対応内容 |
|---|---|
| 8:00 | 内部監査が異常を検知 |
| 8:20 | 内部監査がシステム部へ報告 |
| 8:30 | システム部から、対象アカウントの利用者へ使用しているPCをネットワークから切り離すよう指示 |
| 8:45 | 端末利用者から、ネットワーク切断完了の報告 |
| 8:50 | システム部から本部長へ現状を報告。発見経緯、確認できた事象、今後の対応方針を共有 |
| 9:00 | システム部から端末利用者へパスワード変更を指示 |
| 9:20 | 対象アカウントのパスワード変更完了の報告 |
| 9:30 | 部長・課長・内部監査・ぱにーのの間で、社内への案内内容と対象範囲を協議 |
| 10:00 | パスワード変更の周知 |
| 11:00 | 社内ポータルサイトに緊急ポップアップを表示 |
| 11:05 | 緊急のお知らせを配信 |
| 11:30 | 対象PCのフルスキャンを開始。結果は異常なし |
発覚後、ネットワークの切断やパスワード変更の指示、社内への周知など、複数の対応を並行して進めました。
インシデント対応では、技術的な調査だけでなく、関係者への報告や利用者への周知も必要になります。
被害の拡大を防ぎながら、関係者と連携して対応することも、社内SEの重要な役割です。
「今回の件は誰が悪いの？」
「誰か一人の責任にすることが、解決につながるとは限らないよ。大切なのは、起きたことを振り返って、その先の対策を考えることだよ」
「……」
「ご不満なお顔で……」
なぜ突破されてしまったのか？
今回のポイントは、メールの送信に使われた仕組みと、アカウントの認証情報です。
1. Outlookを経由せず、SMTPでメールが送信されていた
今回のメール送信には、SMTPという仕組みが使われていました。
SMTPとは、簡単にいうと、メールを送信するための通信ルールです。
普段、Outlookなどのメールアプリからメールを送る場合、会社で設定している接続制限などが適用されることがあります。ぱにーのの会社もガッチガチに制限をかけていたつもりでした。
しかし、今回悪用されたのは、メールアプリを使った通常の送信ではなく、SMTPを利用した送信経路でした。
そのため、想定していた制限だけでは不正利用を防げず、メール監査システムでも送信の記録を確認できない状態になっていました。
2. アカウントのパスワードにも問題があった
もう一つの問題は、対象アカウントに設定されていたパスワードです。
当時のパスワードは、第三者に推測されやすい簡単なものでした。(1が8つでした…)
今回の事象は、メール送信に関する設定上の問題と、アカウントのパスワードの問題が重なって発生したと考えられます。
どちらか一方でも適切に対策できていれば、不正利用を防げた可能性があります。
再発防止のために実施したこと
今回の事象を受け、会社では主に次の対策を実施しました。
- メール送信設定の変更：全ユーザーの「認証済みSMTP」を無効化
- パスワードに関する注意喚起：パスワードを複雑にするよう、社内へ周知
認証済みSMTPを無効にすることで、今回悪用されたメール送信経路を利用できないようにしました。
ただし、SMTPを利用するシステムや業務がある場合は、無効化によって影響が出る可能性があります。実施にあたっては、利用状況を確認することも重要です。
また、パスワードについても、複雑なものを設定するよう周知しました。
本来であれば、簡単なパスワードを設定できないように、システム側で制御できるのが理想です。
しかし、私たちの会社では、シングルサインオン（SSO）で連携しているサービスの中に、パスワードの記号に関する制約があるものもありました。
そのため、パスワードの設定要件を変更すると、既存システムとの連携に影響が出る可能性があり、すぐに設定変更することは難しいと判断しました。
正直なところ、パスワードの複雑さに関する設定は、今すぐにでも強化したいところです。
それでも、既存システムへの影響や業務への支障を考えると、簡単には変更できないことがあります。
サーバーやシステムのリプレースなど、要件を見直せるタイミングで対応する必要があるケースも少なくありません。
セキュリティ対策と業務への影響、その両立が難しい
セキュリティ対策は、強化すればするほどよい……と単純に割り切れるものではありません。
もちろん、安全性を高めることは重要です。
しかし、設定を変更することで、これまで利用できていたシステムが使えなくなったり、業務に支障が出たりする可能性もあります。
そのため、社内SEは次のような点を考慮しながら対策を進めています。
- どのような攻撃を防ぐ必要があるのか
- 既存のシステムやサービスに影響しないか
- 業務への支障をどこまで許容できるか
- すぐにできる対策と、中長期的に取り組む対策をどう分けるか
セキュリティを強化したい。でも、業務を止めるわけにもいかない。
このせめぎ合いの中で、社内SEは日々奮闘しているのです……。
まとめ
今回の事例から、サイバー攻撃への対策で大切なことを振り返ってみましょう。
| ポイント | 覚えておきたいこと |
|---|---|
| 起きたこと | メールアカウントが乗っ取られ、スパムメール送信の踏み台にされた |
| 原因となった問題 | SMTPの設定と、推測されやすいパスワードの問題が重なった |
| 発覚後の対応 | 端末のネットワーク切断、パスワード変更、社内周知など |
| 再発防止策 | 認証済みSMTPの無効化、パスワードに関する注意喚起 |
| 社内SEの難しさ | セキュリティ強化と、既存システム・業務への影響を両立させること |
サイバー攻撃を完全に防ぐことは簡単ではありません。
だからこそ、攻撃を受けたときに被害を最小限に抑えること、原因を調査して再発防止につなげることが重要です。
そして、セキュリティ対策を実施する際には、技術面だけでなく、利用者や既存システムへの影響も考慮する必要があります。
安全性と利便性のバランスを取りながら、会社全体のIT環境を守っていく。それも社内SEの大切な仕事です。
コメント