今週、複数の分散型サービス妨害(DDoS)攻撃がセキュアメッセージングサービスThreemaを標的にし、通信に深刻な障害が発生しました。
Threema On-Premを利用している組織は、自社のインフラに依存しているため影響を受けませんでした。
金曜日に公開した事後報告レポートの中で、このエンドツーエンド暗号化インスタントメッセージングサービスは、攻撃者が絶えず手法を変化させたため防御が困難だったと述べています。
Threemaは、同名のスイスのテクノロジー企業が開発した有料メッセージングアプリで、セキュリティとプライバシーを重視しています。
同サービスはスイス国内の複数拠点にある自社サーバーインフラに依存しており、「広告なし、プロファイリングなし、隠れたデータ分析なし」を謳っています。
火曜日の協定世界時(UTC)午後6時頃、ユーザーからサービス障害の報告が相次ぎました。同社は約1時間後、当時把握していた情報に基づき、原因は「コロケーションパートナー側のネットワーク障害」であるとの見解を発表しました。
「Threemaのネットワークステータスが『Connected』ではなく『Connecting』になっている、ああ…10分後に『Connected』に戻ったけど、メッセージは相変わらずすぐには送信されず、かなり遅延している」と、あるユーザーが不満を漏らしました。
その約3時間後、Threemaはパートナー企業からネットワーク障害が解消したとの報告を受け、全サービスの復旧作業を進めていることを明らかにしました。
翌日になっても、Threemaのステータスページ上では問題がないと表示されているにもかかわらず、スイス、インド、中国のユーザーからサービスがダウンしているとの報告が続きました。
しかし同社は、一連のDDoS攻撃を受けており、その緩和作業を続けていることを認め、断続的な障害が今後も発生する可能性があるとユーザーに警告しました。
Threemaは、この攻撃により火曜日の夜から水曜日の朝にかけて、サービスが「一時的に利用できなくなるか、部分的にしか利用できない状態」になったと説明しています。
通常、DDoS攻撃は攻撃パターンに適応する効果的な防御策により、目立った影響なく緩和されるとしています。Threemaは述べています。
しかし今回の攻撃は大規模なもので、Threema自体とそのコロケーションパートナーであるNine社の両方を標的としていました。
「Threemaが主要な標的だったのか、それとも複数の標的の一つとして攻撃対象になったのかは、完全には明らかになっていません」と同社は述べています。
攻撃は長期間にわたって継続し、攻撃者が緩和策を回避するために手法を絶えず変化させたため、防御は困難を極めました。
これとは無関係の技術的問題により、同社は現行のシステムステータスページを更新できなくなり、問題が解決するまでの間、同ページをオフラインにすることを決定しました。
「Threema Workを利用するビジネス顧客に対しては、水曜日の朝にメールでサービスの不安定な状況について通知し、アカウントマネージャーが問い合わせに応じて現在の状況について情報を提供しました」。
同様の事態を避けるため、このスイス企業は攻撃トラフィックを上流でフィルタリングし、自社インフラへの負荷を軽減する「追加対策としての専用DDoS対策」を導入しました。
攻撃者が正規の認証情報を入手した場合、その行動のうちブロックされるのはわずか37%
全体的な防御スコアだけでは、初期侵入後に何が起きているかが見えなくなることがあります。攻撃者が正規の認証情報を使い始めると、防御成功率は急激に低下します。
The Blue Report 2026は、顧客の本番環境で実施された3億3,800万件のシミュレーションをもとに、防御策を手法ごとに詳細に測定しています。
