セキュリティの
学び場

今回の解説ニュース

サーバへのランサムウェア攻撃、メガネブランド「Zoff」「GLASSAGE(グラッサージュ)」の顧客情報流出

株式会社インターメスティックは5月15日、同社が運営するメガネブランド「Zoff」及び「GLASSAGE」が保有する顧客情報及び取引先情報の流出について発表した。(記事はこちら)

メガネブランドを運営する企業がランサムウェア攻撃を受けたことで、保有する個人情報や取引先情報が流出してしまったということです。ランサムウェアの被害を受けないためのセキュリティ対策について説明します。

今回、マルウェアを利用した第三者からの不正アクセスがあり、情報流出が確認されたということです。ただし、クレジットカード情報は含まれていないということで、不正決済などの被害は発生しないと考えられます。

ランサムウェアとは、身代金を意味するランサムとソフトウェアの造語で、マルウェアの一種です。今回のインシデントでは、不正アクセス後に脅迫メッセージが送られているということで、広義の意味でランサムウェア攻撃とされていることが考えられます。

不正アクセス判明後に、初動対応としてアクセス元からの通信を遮断、全端末のセキュリティチェックを実施後、警察と個人情報保護委員会へ報告を行っています。また、本格対応として流出した情報の調査と特定を行い、社外への通信とサーバへのアクセス制限、全端末の調査、マルウェア検知のセキュリティ対策を強化するということです。

マルウェア感染、全端末のセキュリティチェックの内容と方法

全端末のセキュリティチェックは、主にマルウェアの感染経路と端末に残された不審なファイルやログなどを調査することです。その内容や方法について説明します。

マルウェア感染は、メールに添付されたファイルをクリックしてしまうことだけではなく、端末に安易なパスワードが設定されていたり、緊急度の高い脆弱性が放置されていても発生する可能性があります。今回は全端末が調査の対象ということですが、マルウェアの感染経路を特定するためには、端末に脆弱性がないか調査することが必要です。

また、マルウェアの影響範囲を把握するために、感染した端末に残されたファイルやログを調査します。最近では、端末にファイルを残さないファイルレスのマルウェアも存在していますが、Windowsであればイベントログを調査することで、どのようなマルウェアであったか解析することができる場合があります。

このような調査は専門知識が必要だったり、手間や時間がかかったりすることから、調査にはEDRというセキュリティ製品が活用されることがあります。EDRとは「Endpoint Detection and Response」の略で、「エンドポイントでの検出と対応」と訳されます。セキュリティ製品の中でも守ることより、マルウェアなどの不審な動きや痕跡を検出して調査することを目的とした製品です。

インシデント対応の優先順位

インシデント対応の優先順位として、まず情報収集と注意喚起を行うことが一般的です。その後、本格対応として事象の分析を行います。記事の最後に書かれているのは本格対応に当たりますが、インシデント対応全体の流れについて、どのような優先順位で行われるか簡単に説明します。

まず、検知したインシデントが対応すべき事象であるか、冷静に判断する必要があります。例えば、システムの誤検知ではないか、通報者の勘違いではないか、自組織と無関係のインシデントではないか、などです。インシデントではない事象に対応してしまうことで、限りある人的資源を消費してしまうだけでなく、不要な情報開示によって別のインシデントを引き起こしてしまう可能性もあります。そのために、情報収集を正確に行うことが必要です。

その後、対応が必要と判断された場合は、注意喚起などの情報発信を速やかに行います。よく、正確な情報がそろってから情報公開しようという判断がなされる場合もありますが、公表が遅れれば遅れるほど、被害がより拡大してしまう可能性があります。利用者保護の観点において注意喚起は何よりスピードを重視することが必要です。今回のインシデントでは発生かららずか5日で被害者に対して個別に連絡を行っているため、よいインシデント対応の事例と言えます。

このような、インシデント対応の優先順位付け自体を「トリアージ」と呼びます。まず、トリアージを行ってから、必要な本格対応を行っていくことで、被害の局所化と機能の早期回復が期待できるということですね。インシデントがないことに越したことはありませんが、有事の際に皆さんの参考になれば幸いです。