さくらインターネット襲った不正アクセス､わずか2日で｢583→136万アカウント｣に影響拡大…見えている被害より怖いこと

第一報で見つかった異常が、見えていなかった別の侵入の痕跡を調べる契機になった、と考えるほうが現状には近い。この点は今後の調査結果を待つ必要がある。

「発表がない」ことをどう見るべきか

第二報の後、攻撃経路や攻撃者、侵入時期などについて詳細な説明はまだ出ていない。しかし、これを直ちに情報開示が遅いと批判するのも早計だろう。

さくらインターネットほどの規模になると、調べる対象は膨大になる。サーバーのログ、認証記録、通信記録、マルウェア、設定変更の履歴などを照合し、「いつ」「どこから」「どの権限で」「どこまで入られたか」を時系列で組み立てなければならない。痕跡が消されていれば、さらに時間がかかる。

不用意な途中経過の公表には別の問題もある。調査中の侵入経路や監視方法、復旧状況を細かく明らかにすれば、攻撃者にこちらの手の内を知らせることにもなりかねない。

アサヒGHDもランサムウェア被害の直後には「さらなる被害の拡大を防ぐため」として、攻撃の詳細を公表しなかった。ニチレイも7月13日のシステム障害発生後、段階的に情報を公表し、8月14日になって一部従業員情報に漏洩のおそれがあることを明らかにしている。

調査中は必要な情報を出しながら、攻撃者に利用されかねない情報は出さない。その線引きは難しい。さくらインターネットについても、まず封じ込めと調査を優先し、全体像が固まった段階で原因と再発防止策を説明することが望まれる。

今回の事件から改めて考えたいのは、サイバー攻撃は案外見えないということである。ランサムウェアの印象が強くなったため、「サイバー攻撃を受ければシステムが止まり、すぐわかる」と考えがちだ。

しかし攻撃者にとって、侵入したことを早々に気付かれる利点はない。できるだけ長く内部にとどまり、情報を探し、権限を広げるには、自分の存在を隠したほうが都合がよい。実際の攻撃では、セキュリティ機能を止めたり、ログを消したり、正規のアカウントを悪用したりすることもある。高度な攻撃では、システムそのものに手を加えて痕跡を見えにくくすることさえある。

もちろん、今回のさくらインターネットへの攻撃で、こうした手法が使われたと判明したわけではない。攻撃手法は現在も調査中である。ただ、「異常を1つ見つけ、詳しく調べたところ、それ以前の別の不審なアクセスの可能性が浮かんできた」という経過自体は、サイバー攻撃を見つける難しさをよく表している。