自治体やガス会社の業務を受託する両毛システムズにランサムウェア攻撃。入口はVPNアカウントの悪用

01発表されている事実

1. 8月12日

   外部の第三者が、ネットワーク接続機器（VPN）のアカウントを悪用して社内ネットワークに侵入（第3報による）

2. 8月14日 未明

   社内の死活監視で異常を検知。サイバー攻撃と確認し、ネットワークを遮断

3. 8月15日

   第1報を公表。外部専門機関によるフォレンジック調査を開始

4. 8月19日（第2報）

   ランサムウェア攻撃と確認。社内システムを停止。警察や個人情報保護委員会などに報告・相談

5. 9月25日（第3報）

   一部サーバーに第三者の不正アクセスの痕跡。営業情報、取引情報、個人情報が漏えいしたおそれ

第3報によると、漏えいのおそれがある個人情報には、取引先のお客さま、同社に問い合わせた事業者、個人のお客さま、同社従業員に関する情報が含まれる可能性があります。件数と項目は精査中で、対象者には順次個別に連絡するとしています。発表時点で二次被害は確認されていません。VPNのアカウントがどのように不正利用されたかは、発表に記載がありません。

02読者への影響

同社に業務を任せている自治体や会社では、委託した業務のファイルが同社の社内ネットワークに残っていれば、自社のシステムが無事でも情報が漏れるおそれがあります。対象になった人には、委託元か同社から連絡が届きます。同社を名乗る不審なメールは、添付ファイルを開かず、リンクを押さず、削除するよう同社が呼びかけています。

同社は異常を社内の死活監視で見つけ、すぐにネットワークを遮断しています。一方で、侵入から検知までに2日ほどありました。VPNの正規アカウントで入られると、ログインそのものは「いつもの接続」に見えます。小さな会社ほど、VPNのログを誰も見ていないことがよくあります。

03同じことを防ぐには

1. VPNのアカウントを棚卸しする。退職者や使っていない保守用のアカウントを消し、すべてに多要素認証をかける
2. VPN装置のファームウェアを最新にし、ログイン履歴を定期的に見る。深夜の見慣れない接続元は要注意
3. 委託先に渡したデータは、業務が終わったら消してもらう。契約に「保存期間」「事故時の連絡期限」を書く
4. 委託先を選ぶときに、多要素認証やバックアップの切り離し、事故時の連絡体制を確かめる
5. VPNに頼らず、利用者と端末を確かめてから個別のシステムにだけつなぐ「ゼロトラスト」型の接続も検討する

図鑑では、法人向けのリモート接続を「法人VPN・リモートアクセス」と「ゼロトラスト・SASE」で、取引先から対策を求められたときの入口を「取引先から対策を求められた」で比べられます。

04今後の発表

同社は、漏えいのおそれがある個人情報の件数と項目を精査し、詳細が分かり次第あらためて報告するとしています。