セキュリティの
学び場

今回の解説ニュース

主にクラウドサービスを対象とした金銭的負担をかけるサイバー攻撃について解説されています。クラウドサービスへのサイバー攻撃によって、経済的にサービス停止へ陥ってしまう背景について説明します。

今回の記事は、意図的にリソースを大量消費することで金銭的負担をかけさせる、EDoS攻撃について解説しています。過去に、決済代行サービスの利用手数料として経済的負担をかけられた事例が存在するということです。

EDoS攻撃に対し、どのようなクラウドサービスでも対応できる普遍的な対策として「請求に関する通知」「料金項目に関連する値のモニタリング」「実行時間の制限」「実行台数の制限」「サイズの制限」「回数の制限」「自動化対策」が挙げられています。

EDoS攻撃とは、どのような特徴があるのか

EDoS攻撃とは、Economic Denial of Sustainabilityの略で、クラウドサービス利用者に金銭的負担をかけさせるサイバー攻撃です。脆弱性のあるシステムのリソースが大量消費されることによって経済的にサービスを停止せざるを得ない状況になる場合があります。

例えば、Aさんがお財布を落としてしまったとします。財布の中に入っている身分証明書とレンタカーの会員証を悪用されたら、誰かが自動車へ乗り放題になる一方で、Aさんに対しては永久に請求が発生することになります。最終的には、Aさんは貯金を使い果たしてしまい、生活することが困難になるかもしれません。

EDoS攻撃でも同様に、脆弱性のあるシステムが悪用されることで、システムのリソースが大量消費された結果、経済的にサービスの停止へ追い込まれる可能性があります。最悪のケースを考えると、サービスを提供する事業者が破産や数ヶ月の事業停止になるほどのインパクトを持っているということです。

EDoS攻撃は単なる嫌がらせ？攻撃者に目的はあるのか

EDoS攻撃が実際に発生しているインシデントでは、結果として経済的にサービス停止へ追い込まれている状況が挙げられます。

我々が過去に対応したインシデントで、EDoS攻撃が結果的に成立してしまっている事例として、脆弱性のあるシステムが暗号資産のマイニングに悪用された事例が挙げられます。暗号資産のマイニングは電気代の安い地域が積極的に活用されることからわかるように、その作業に大量のリソースを消費します。そのため、得られる報酬と電気代のコストの差し引きで、いかに利益を最大化できるかが暗号資産のマイナーによって常に考えられています。

そのような状況で、道徳のないマイナーによってタダ乗りを目的としたクラウドサービスへのサイバー攻撃が行われています。クラウドサービスの設定ミスが発生しやすい現状に加え、暗号資産の匿名性もあり、脆弱性のあるシステムが暗号資産のマイニングに悪用されることが、我々の対応したインシデントでも数多く確認されています。サービスだけでなく事業も継続できないレベルの金銭的負担が発生してしまい、結果として、EDoS攻撃が成立してしまっている現状が挙げられます。

今回は、経済的にサービス停止に陥ってしまうEDoS攻撃の背景についてお届けしました。