人気のファイル転送アプリ「MOVEit」の脆弱性が発見され、修正されてからほぼ3か月が経過しましたが、MOVEitのセキュリティ侵害による被害を受けた企業や政府機関の数は、依然として増え続けています。 そして、この暴走には収まる気配が見られません。
By some counts, more than 40 million people and at least 600 public and private organizations may have been affected thus far by the zero-day MOVEit bug that was disclosed in late May. 最近注目を集めている被害企業はIBMです。 が先週報じたところによると（ ）、同社が「MOVEit」アプリケーションを使用したことにより、コロラド州およびミズーリ州の州機関が保有する数百万人の医療記録が流出した可能性があることが確認されました。 主にロシアの「 」ランサムウェア グループ「Clop」によって仕掛けられたこれらの攻撃は、政府のあらゆるレベルに加え、大学、病院、 銀行、年金基金、株式トレーダー、ITベンダー、 保険会社、会計士、そしてオンラインギャンブルサイトにも被害をもたらしました。
当然のことながら、このサイバーインシデントに関連する法的措置が急増しています。 『ウォール・ストリート・ジャーナル』紙（ ）によると、MOVEitを開発しているプログレス・ソフトウェア社は、全米各地の連邦裁判所で少なくとも 13 件の訴訟に直面しているとのことです。 また、MOVEitの顧客は数十万人にのぼるため、弁護士たちは、MOVEitのデータ漏洩に関する通知を受け取った人々を必死に探し回り、 の集団訴訟に参加する意思があるかどうかを確認しています。。
ここ数週間だけでも、ロチェスター大学、ティーチャーズ・インシュアランス・アンド・アニュイティ・アソシエーション、ジョンズ・ホプキンス大学、マキシマス・フェデラル・サービス、およびペンション・ベネフィット・インフォメーション（カリフォルニア州公務員退職年金制度のサービスプロバイダー）が、この情報漏洩をめぐって相次いで提訴されています。
これは、非常に古いソフトウェアにとって、まったく新しい問題をもたらしています。 ファイル転送システムは、何十年にもわたってデータを転送し続けており、商業活動において不可欠なものと考えられています。
「ファイル転送プログラムは、扱うデータが暗号化されていないことが多いため、セキュリティ上の課題を抱えていることで知られています。」Taniumの最高セキュリティ責任者、ティム・モリス氏
「データは、ほとんどの組織にとって生命線です」と、サイバーセキュリティソフトウェアの大手企業であるTanium（『Focal Point』の発行元）の最高セキュリティ責任者、ティム・モリス氏は述べています。 「しかし、ファイル転送プログラムは、扱うデータが暗号化されていないことが多いため、セキュリティ上の課題を抱えていることで知られています。」 さらに、MOVEitに見られるような脆弱性が加われば、サイバー犯罪グループはエクスプロイトを思う存分悪用することになるでしょう。」
幸いなことに、企業がこの大規模なデータ漏洩の被害に遭わないようにするための対策があります。
[関連記事：貴社のセキュリティ戦略には、サイバーセキュリティ分析が欠けていませんか？]
MOVEitの情報漏洩がなぜこれほど深刻な問題なのか
問題に先手を打つためには、その背景にあるものを理解しておくことが役立ちます。 5月31日において、Progress は、 、MOVEitにSQLインジェクションの脆弱性が存在することを確認したと発表しました。この脆弱性により、ハッカーは入力フィールドに悪意のあるコードを挿入することで、ネットワークへのアクセス権や制御権を取得する可能性があります。 Progress社は直ちに調査を開始し、MOVEitの顧客に通知するとともに、対策手順を提供し、 48 時間後にパッチを公開しました。
「実際、多くの組織は、この脆弱性が悪用される前にパッチを適用することができました」と、米国サイバーセキュリティ・インフラセキュリティ庁（CISA）の高官であるエリック・ゴールドスタイン氏はロイター通信に語りました。
他の多くの脆弱性についても、このパッチがあれば、広範囲にわたる問題を防ぐのに十分だったかもしれません。 しかし、今回のケースでは、Clopハッカーたちは、1月に発見されたGoAnywhere MFTの ゼロデイ脆弱性（ ）と類似したMOVEitの脆弱性についてすでに把握しており、Progress社からの警告が出る前から攻撃を開始していました。
つまり、ハッカーたちは一歩先んじていたのです。 また、『Progress』の記事によると、その「エッジ」に加え、Clopの攻撃性、そしてデジタル世界においてデータ、ソフトウェア、 のサプライチェーンがますます密接に絡み合っていること（ ）が、これほど多くの機関や企業が依然としてMOVEitによる情報漏洩被害に遭っていることを今になって気づいている主な理由となっています。
[関連記事：サプライチェーンを強化するための米国政府の戦略]
専門家によると、もう一つの理由は、多くの企業がパッチ適用の必要性を本来あるべきほど真剣に受け止めていなかったことにあるとのことです。
先延ばし癖を直すには？ これがMOVEitの問題の真の原因かもしれません
それが事実かどうかは、判断が難しいところです。 しかし、MOVEitの脆弱性を悪用するために一般的に使用される攻撃チェーンの再現に成功したHuntressなどのセキュリティ研究者たちは、Progress Softwareのパッチ「」について、「」で再現したエクスプロイトを効果的に阻止していると述べています。
“It’s very Log4j-esque.”ジョン・ハモンド氏、サイバーセキュリティ研究者、ハントレス
これまでの状況から判断すると、多くの組織は、この脅威を本来あるべきほど深刻に受け止めていなかったか、あるいは迅速に対応するための時間やリソースが不足していたため、おそらくパッチを適用していなかったと考えられます。 また、MOVEitはサプライチェーン全体で利用されているため、一部のIT部門では、自社やパートナー企業がこのファイル転送製品を利用していることさえ認識していなかった可能性も十分にあります。
In that sense, “it’s very Log4j-esque,” says John Hammond, a cybersecurity researcher with Huntress, referring to the Apache vulnerability that’s been a persistent threat since its discovery in 2021年11月. ある推計によると、 72%の組織 は、依然としてこの脅威に対して脆弱な状態にあるとのことです。
MOVEitの情報漏洩による脅威を最小限に抑える方法
では、まだ自組織を守るための対策を講じていない場合、組織はどのような対応をとればよいのでしょうか？ 専門家は、次のような予防策を推奨しています：
1. 監査する
ご自身やサプライヤーがMOVEitを導入しているかどうか、またそれがご自身に影響を及ぼす可能性があるかどうかを確認する必要があります。 のアプリケーションおよびアセットのインベントリ を確認し、ご使用の技術スタックにMOVEitサーバーが含まれているかどうかをご確認ください。 また、サプライヤーにも連絡を取り、彼らが使用しているすべての技術のセキュリティについて責任を果たしてもらうようにしてください。 テクノロジー企業のPrevalentが、こうした会話の中で尋ねてみるとよい質問をまとめた「 」という役立つリストを公開しています（ ）。 「たとえ彼らが持っているものがあなたの管轄外であったとしても、それは依然として、業務の安全性を確保する上で影響を及ぼす要素の一つなのです」とハモンド氏は述べています。
2。 パッチの適用
当たり前のことですが、 にアクセスして、 のすべてのパッチを適用しない場合、企業の存続、評判、法的地位を危険にさらすことになります。 Progress社は、今後、およそ2か月ごとにサービスパックをリリースすると発表しました。 それらにご注意ください。 Bitsightのレポートによると、ほとんどの組織はこの問題を是正するために更新が必要であることを理解しているようで、 の更新を、一般的な対応とされる速度よりも21 倍速く 行っているとのことです。 その結果、この脆弱性の影響を受けやすい組織の数は somewhat—77％減少しており、当初影響を受けていた組織のほとんどはもはや脆弱ではないことが、Bitsightの調査で明らかになりました。 もちろん、それはつまり、 23％が依然として攻撃に対して無防備であることを意味します。
3。 無効にする
また、Progress社では、重要な対策として、MOVEit Transfer環境へのすべてのHTTPおよびHTTPSトラフィックを無効にすることを推奨しています。 具体的には、パッチを適用できるまで、ポート 80 および443 におけるMOVEit TransferへのHTTPおよびHTTPSトラフィックを拒否するように、ファイアウォールのルールを変更してください。
4。 セグメント
Tanium社のティム・モリス氏も、データをどこに保存しているかに細心の注意を払い、MOVEitと同じ場所に長期間保存しないようにすることを推奨しています。 「エッジからデータを取得し、より安全な場所へ移すことで、『影響範囲』を効果的に縮小できるのです」とモリス氏は述べています。 「これにより、攻撃者が盗み出せる情報が制限され、バグの影響も最小限に抑えられるため、MOVEitはデータを迅速に転送するものの、それを保存しないプロキシとなります。」
5。 監視する
モリス氏は、ネットワークポート、プロトコル、およびサービスを監視すること、また、ルーターやファイアウォールなどのネットワークインフラ機器におけるセキュリティ設定が有効になっていることを確認することも極めて重要だと述べています。
6。 強化する
また、専門家たちは、 や に掲載されているような、常識的なサイバー衛生対策として、以下のような措置を提案しています。具体的には：
- のネットワークファイアウォールルールを更新し、信頼できるIPアドレスからのみMOVEitインフラストラクチャへの接続を許可するようにします。
- 不正なユーザーのアカウントの確認と削除 は、組織のセキュリティ対策において不可欠な作業ですが、あまりにも頻繁に後回しにされがちです。
- へのファイルアクセスを、ネットワークによってすでに認証済みのユーザーに限定し、管理権限は絶対に必要な場合にのみ付与します。
- 信頼できるIPアドレスからのみ着信接続を許可するように、リモートアクセスポリシー「 」を更新します。
- の多要素認証（MFA）を有効にし、 を通じて、MOVEitアカウントを未認証のユーザーから保護します。
- 機密ファイルの事前暗号化 には、Advanced Encryption Standard（AES）のような本格的なアルゴリズムが使用されています。AESは対称ブロック暗号の一種であり、転送される情報の迅速な暗号化および復号化に役立ちます（AESは、メッセージを「正しい相手」だけが理解できる意味不明な文字列に変換する、極めて安全な秘密の暗号だとお考えください）。
7。 観察する
ハリウッドの映画製作者たちと同様、ハッカーたちもトレンドを追っています。 研究者が特定のソフトウェアカテゴリに脆弱性を発見し、ランサムウェア集団がそれを悪用して利益を上げると、同様の欠陥やサイバー攻撃が相次ぐ傾向があります。
現在、ファイル転送を悪用した攻撃が横行しており、MOVEitを悪用した攻撃のニュースが今回で最後とは限らないでしょう。 たとえ法執行機関がいつかClopを摘発することに成功したとしても、悪意のある攻撃者は常に存在するため、ニュースに目を通し、ベンダーからの警告や通知に注意を払い、既知の侵害の兆候を精査し続けることが極めて重要です。 MOVEit Transferの最新情報については、 こちらのページ をご確認ください。 MOVEit Cloudの については、こちらをご覧ください：。
「MOVEitのセキュリティ侵害は、当初考えていたよりもずっと長い間問題となり続け、さまざまなコストのかかる頭痛の種をもたらすことになるだろうという予感がします」とモリス氏は述べています。 「しかし、パッチを適用し、適切なサイバーセキュリティ対策を実践していれば、この問題の影響を受ける可能性を最小限に抑えることができるはずです。」