スイスIT機関がハッキング被害、200アカウントが侵害 SharePointの脆弱性が疑われる

スイス連邦情報技術通信局(BIT)は火曜日、オンプレミス版SharePointサーバー上で約200件のアカウントがハッカーによって侵害されたことを明らかにしました。

同機関がこの発表を行ったのは、セキュリティ専門家がオンプレミスのMicrosoftサーバーで異常を最初に検知してから1週間後のことでした。ハッカーの侵入経路については確認されていませんが、7月の月例パッチでSharePointに影響する複数の脆弱性が特定されていたことは認めています。

「今回のサイバー攻撃は、これまで知られていなかった攻撃者によって実行されたもので、おそらくSharePointソフトウェアのこれらの脆弱性を悪用したとみられます」とスイスの同機関は述べています。

これらの脆弱性のうち複数は、米サイバーセキュリティ・インフラセキュリティ庁(CISA)の既知悪用脆弱性(KEV)カタログに追加されていますが、MicrosoftもCISAも、これらの悪用を特定の脅威グループに帰属させる発表はまだ行っていません。

スイスの同機関によると、初期分析では「侵害された認証情報以外のデータにアクセスされた形跡は見つかっていない」とのことですが、この分析はまだ継続中であると注意を促しています。また、「機密情報や特に機微な個人データがSharePointプラットフォーム上に保存されている可能性はない」と付け加えています。

SharePointは、金銭目的のハッカーだけでなく、情報収集を狙う国家支援型グループにとっても格好の標的です。同サービスは機密文書の保管によく使われるだけでなく、Microsoftの認証サービスと深く統合されているため、高いスキルを持つハッカーであれば、そこに足がかりを得ることで被害組織のネットワークにさらに深く侵入できてしまいます。

スイスの同機関では、ユーザーアカウントと技術アカウントの両方が侵害されました。同機関は、異常なアクセスを検知したのと同日中にSharePointへのインターネットアクセスを遮断し、脆弱性へのパッチ適用を行ったとしています。

民間・公共両セクターの組織が、7月に発覚したSharePointの問題について警告を発しています。CERT-EUは次のように述べています。「SharePointに影響する重大な脆弱性が近年これだけ相次いでいることを踏まえると、各組織はMicrosoft SharePoint Serverをインターネットに直接公開すること自体を見直すべきです」

CISAは、これらの脆弱性を悪用する攻撃者が、SharePointの基盤となるWebサーバーであるMicrosoftのInternet Information Services(IIS)からマシンキーを窃取していると警告しました。これにより攻撃者は、セッショントークンの署名や永続的なアクセス維持に使われる暗号鍵を手に入れることになります。

一度盗み出されたこれらのキーがあれば、攻撃者はパッチが適用済みのサーバーでも正規のものとして受理されてしまうリクエストを偽造できます。つまり、SharePointサーバーでの認証情報漏えいは、元の脆弱性を塞いだパッチが適用された後も影響が残り続ける可能性があるということです。

CISA、CERT-EUをはじめとする各国のCERTは、単にパッチを適用するだけでなく、マシンキーのローテーションとIISの再起動を行う必要性を強調しています。BITは、予防措置として影響を受けたSharePointサーバーの再インストールを進めているとしています。