シーイーシーのデータセンターにランサムウェア攻撃。一部サービスが一時停止し、別環境で復旧

01発表されている事実

1. 8月5日 11時ごろ

   東京第二データセンターで障害が発生。第1報（8月6日）の時点でサービスは復旧済み

2. 8月7日（続報）

   ランサムウェア攻撃と確認。警察に被害を報告し、個人情報保護委員会に第一報。攻撃を受けた領域は、顧客から預かったシステムやデータとは別の領域

3. 8月21日（続報）

   ランサムウェアの種別と侵入経路を特定し、侵入経路の遮断を完了（詳細はセキュリティ上の理由で非公表）。暗号化された領域がある。一時的にサービスが停止し、影響を受けた顧客には個別に連絡済み。サービスは別環境で復旧

4. 9月3日（最終報）

   攻撃から障害発生日までの通信記録に外部への異常な通信はなく、復元したデータとログの解析からも情報漏えいはないと確認。侵入された領域は隔離して作り直した

同社は再発防止策として、インターネットに接続する機器と通信経路の再評価と総点検、ネットワークの防御と監視の強化を挙げています。警察と個人情報保護委員会には調査結果も報告しました。

02読者への影響

同社のデータセンターサービスを使っている会社で、一時停止の影響を受けたところには個別に連絡が届いています。連絡がなければ、今回の停止の対象ではなかったと考えられます。

中小企業にとっての教訓は、自社サーバーを預けている先でも障害は起こるということです。今回は短時間で別の環境に切り替えられましたが、預け先の事故で業務が止まる可能性は常にあります。

もう一つの教訓は、「漏えいはなかった」と言い切るには、通信記録とログが残っていることが前提になる点です。同社は攻撃から障害発生日までの通信記録とログを解析して、漏えいなしと結論づけました。ログが残っていなければ、漏えいの有無を確かめられず、取引先や顧客への説明が難しくなります。

03同じことに備えるには

1. データセンターやクラウドに預けているデータも、別の事業者や手元に定期的にバックアップを取る
2. 預け先が止まったとき、何時間で戻るか（復旧目標）を契約で確かめる
3. インターネットにつながる機器（VPN装置、ファイアウォール、リモート管理用の機器）を一覧にし、使っていないものを止める。同社の再発防止策と同じ考え方です
4. 機器のログを集めて見てもらう監視サービスを検討する
5. 障害の連絡が来たときに、社内の誰が判断し、取引先にどう伝えるかを決めておく

図鑑の「UTM・ファイアウォール」で出入口の機器を、「SOC・MDR・SIEM」で監視サービスを比べられます。

04今後の発表

9月3日の発表が最終報です。問い合わせは同社の調査委員会がメールで受け付けています。