鳥取県の環境放射線モニタリングシステムにランサムウェア攻撃。主サーバーが停止し、可搬型の機器で監視を継続

01発表されている事実

1. 9月2日（水）午前3時36分

   システムが異常を検知し、警報メールを自動で送信。登庁後に担当職員が確認し、保守業者に連絡。保守業者が主監視局のファイルの暗号化を確認

2. 9月2日

   県デジタル局に報告。情報セキュリティ統括管理者（デジタル局長）が現場に急行し、主監視局につながるすべての通信回線の即時遮断を指示。県庁CSIRTを発動し、県警サイバー犯罪対策課に通報

3. 9月3日

   報道提供。システムは県庁の総合行政ネットワークとは別のモニタリング専用ネットワークで動いており、他の県庁システムに影響はない

4. 9月4日

   主監視局の調査を開始（通信ログなどを取得）

5. 9月5日

   副監視局に被害はないが、同じ構成で同じ攻撃を受けるおそれがあるため、予防として通信を遮断。可搬型モニタリングポストを設置して監視を継続

9月15日の県議会常任委員会資料によると、犯行の手口は調査中で、保守業者が県庁CSIRTと県警の協力を得てシステムログを解析しています。復旧時期は未定です。システム内のデータは公開を目的とした測定値で、機密情報や個人情報はないとしています。

02読者への影響

県は、放射線の監視は続いていると説明しています。住民が今すぐ行うべきことは発表されていません。

会社にとっての教訓は二つあります。一つは、本業のネットワークから分けた「専用のシステム」でも狙われることです。もう一つは、夜中の午前3時36分に警報が出ても、確認は登庁後になったことです。人がいない時間の通知を誰が受けるかで、対応の早さが変わります。

なお、主サーバーと副サーバーで二重化していても、副サーバーまで通信を止めることになりました。二重化は機械の故障には強い一方、同じ構成のサイバー攻撃には同時にやられるおそれがあります。

03同じことに備えるには

1. 本業とは別に動いている専用システム（監視カメラの録画機、工場の設備管理、測定装置のサーバーなど）も一覧に入れ、更新と保守の状況を確かめる
2. 保守業者がどこから、どのアカウントでつないでいるかを把握する。保守用の接続は使うときだけ開ける
3. 夜間・休日の警報を、外部の監視サービスやスマートフォンで受けられるようにする
4. 予備のサーバーが本番と同じ構成なら、同じ攻撃を受けうると考えておく。予備とは別に、切り離したバックアップを持つ
5. 止まったときの代わりの手段（今回は可搬型の機器）を、あらかじめ決めておく

図鑑の「SOC・MDR・SIEM」で夜間も見てもらえる監視サービスを、「取引先から対策を求められた」で委託先との取り決めを探せます。

04今後の発表

県は、原因を踏まえて再発防止策を講じたうえで、速やかなシステム復旧を目指すとしています。