Threema、2026年8月に相次いだサービス障害を受け新たなDDoS対策を導入

8月11日の夜に発生した大規模なDDoS攻撃により、セキュアメッセージングアプリ「Threema」へのユーザーアクセスが遮断され、翌8月12日の朝にも新たな障害の波が押し寄せました。Threemaの公式発表によると、攻撃者はThreema自身のインフラだけでなく、サーバーホスティングパートナーであるNine社も標的にしており、悪意あるトラフィックの発信元や特性を絶えず変化させていました。Threema自体が主要な標的だったのか、それとも攻撃者が複数の標的を同時に狙っていたのかについては、開発陣もまだ特定できていません。

タイムライン:2度にわたる障害の波

8月11日には、中央ヨーロッパ夏時間の19時30分から23時30分までメッセンジャーが利用不能な状態に陥りました。攻撃は翌8月12日の朝に再開し、その日一日を通じて断続的にサービスを妨害しました。12時23分までにチームは通常運用を回復させ、それ以降の障害は記録されていません。

公式ステータスページは当初、DDoS攻撃とは無関係の別の技術的問題により、障害情報を表示できませんでした。Threemaは一時的にこのページをオフラインにして根本原因を解決し、アクセスを復旧させました。その間、チームはソーシャルメディアを通じて更新情報を発信していました。8月12日の朝には、同社はThreema Workの法人顧客向けにサービスの不安定な状況についてメールを送信し、サポート担当者も顧客からの問い合わせに直接対応しました。

攻撃はどのようにThreemaのインフラを圧倒したのか

DDoS攻撃では、攻撃者は絶えず変化する多数の発信元アドレスから、膨大な量のリクエストをオンラインサービスに向けて送り込みます。この洪水のようなトラフィックが基盤インフラを圧倒し、正規ユーザーへの通常のサービス提供を妨げます。攻撃元やリクエストパターンが絶えず入れ替わるため、単一のアドレスをブロックするだけでは対処できず、防御システムはフィルタリングルールをリアルタイムで継続的に再構成せざるを得なくなります。

可用性への影響、セキュリティへの影響はなし

Threemaは、今回の攻撃がサービスの可用性に影響を与えたものの、メッセンジャーの根幹となるセキュリティには影響がなかったと強調しています。同社によると、攻撃者は内部システムにもユーザーデータにも一切アクセスできませんでした。同サービスは定期的にDDoS攻撃を受けていますが、通常であれば防御機構が目立った障害が発生する前に悪意あるトラフィックを除去しています。しかし、今回8月のキャンペーンで用いられた攻撃の規模、継続時間、絶えず変化する手口は、通常よりもフィルタリングを著しく困難にしました。

Threema OnPremの顧客はこの障害の影響を受けませんでした。オンプレミス版を運用する組織は自社のインフラ上にシステムを展開しているため、クライアントがホストするシステムは今回の事案の間も中断なく稼働を続けました。

8月14日、新たなDDoS対策を導入

中央ヨーロッパ夏時間8月14日18時05分、Threemaは最終テストを経て、補完的な専用DDoS防御システムを稼働させました。この新たな仕組みは、攻撃トラフィックがThreemaのインフラに到達する前にフィルタリングし、同社サーバーにかかる負荷を軽減します。Threemaはまた、ステータスページを拡充し、障害履歴とRSSフィードを追加することを約束しました。今後、ユーザーおよびThreema Workの管理者は更新情報を購読できるようになり、独立した通信チャネルを通じてサービスの状況を把握できるようになります。