ユーザーに重大なセキュリティ警告を無視させてしまうこの不具合は、攻撃者に付け入る隙を与えます。Microsoftは修正に取り組んでいるとしています。
Microsoftは金曜日、Microsoft Defenderアンチウイルスが実際には正常に機能しているにもかかわらず、Windowsが「無効になっている」とユーザーに誤って表示してしまう不具合が発生していることを報告しました。同社はこの問題の修正に取り組んでいるとしています。
コンサルタントらは、この注意喚起がユーザーに重大な警告を無視するよう学習させてしまう点で大きな懸念があり、結果として攻撃に対してはるかに脆弱になると指摘しています。
Microsoftのリリースヘルスダッシュボードでは、この問題について次のように報告されています。「Microsoft Defenderアンチウイルスの最新の更新プログラムをインストールした後、アンチウイルスが正常に機能し、すべての設定で有効と表示されているにもかかわらず、『Microsoft Defenderアンチウイルスは無効になっています』という通知が表示される場合があります。この通知はWindows起動時に表示されることがあり、その後も断続的に表示されます。通知設定をオフにしていても表示され続けます。この問題は、最新のDefender更新プログラムを適用したMicrosoft Defenderアンチウイルスを実行している、あらゆるバージョンのWindowsまたはWindows Serverで確認されています。」
投稿にはさらにこう付け加えられています。「今後のMicrosoft Defenderアンチウイルスの更新プログラムで解決策をリリースすべく取り組んでおり、詳細が判明次第お知らせします。」
続いて、影響を受けるさまざまなWindowsクライアント版・サーバー版のバージョンが列挙されています。現行のWindows 11 バージョン26H1およびWindows Server 2025から、Windows 10 Enterprise LTSC 2016やWindows Server 2012まで幅広く含まれます。
誤った案内
業界関係者は、こうした警告を無視するようユーザーに促すことに懸念を示しています。
技術コンサルティング企業Tribeca Softtechの最高戦略責任者Aman Mahapatra氏は、「Microsoftは、ランサムウェア発動の大部分に先立って現れるまさにその兆候を無視するよう、企業に案内を出してしまった」と述べています。同氏は、エンドポイント保護を無効化することは、過去5年間ほぼすべてのランサムウェア攻撃者グループの手口に共通する常套手段だと指摘しています。
「Microsoftが人々に無視するよう指示している警告は、攻撃者が暗号化を開始する数分前に発動するのと同じ警告です」と同氏は述べています。「これは不具合に関する注意喚起によって生じた本物のセキュリティ後退であり、修正時期が明示されていないことがさらに事態を悪化させています。」
さらに懸念されるのは、多くのセキュリティオペレーションセンター(SOC)がこうした警告を抑制するルールを作成しかねない点で、それによって問題はいっそう深刻化するだろうと同氏は予測しています。
「ある兆候が絶えず発報し、それが誤りだと分かっている場合、人間の対応の質は数週間ではなく数日で低下します」とMahapatra氏は述べています。「Windows環境全体でこの種の警告を何百件も目にするSOCは、来週にも抑制ルールを作成するでしょう。なぜなら、そうしなければ大量の誤警告に埋もれてしまうからです。そして、そのルールは不具合が解消された後も何カ月も残り続けるでしょう。キューをきれいに保っているフィルターをわざわざ取り除きに戻る人はいません。」
Mahapatra氏はまた、攻撃者がこの不具合をソーシャルエンジニアリング攻撃に速やかに利用するだろうとも予測しています。
「攻撃者がヘルプデスクに電話をかけ、『あなたのマシンでDefenderの警告が表示されますが、Microsoftによれば既知の不具合なので無視してください』と告げれば、今やその口実を裏付けるベンダーの公式注意喚起が存在することになります」とMahapatra氏は述べています。「ヘルプデスクはまさにこの種の問題に対して身構えるよう訓練されてきました。これは公開文書に裏付けられた効果的な口実であり、実際に悪用されるでしょう。」
Fortraのサイバーセキュリティ研究開発チームリーダーであるLane Thames氏も、Mahapatra氏の懸念に同調しています。
「ITチームは、この問題をユーザーにどう伝えるかについて非常に慎重になる必要があり、その周知は直ちに行うべきです」とThames氏は助言しています。「メッセージは単に『WindowsがDefenderは無効だと表示しても無視してください』であってはなりません。それはまさに、私たちが長年かけてユーザーに『やめさせよう』としてきた行動そのものだからです。」
「より適切なメッセージは、『Microsoft Defenderで現在既知の通知不具合が発生していますが、セキュリティ警告については引き続き通常のヘルプデスクやセキュリティ窓口を通じて報告してください』というものです」と同氏は述べています。「ITチームはユーザーにその判断を委ねるのではなく、Defenderの実際の状態を検証すべきです。そうしなければ、次に本物の警告が出たときには、ユーザーはすでに無視するよう訓練されてしまっている可能性があります。」
今回のMicrosoftの警告は「本物の攻撃がノイズに紛れて隠れる格好の機会を作り出している」と同氏は付け加えています。
信頼の低下
しかしThames氏は、それよりも大きな潜在的問題があると強調しています。それは信頼の低下です。
「セキュリティ通知は、ユーザーがそれを信じてこそ機能します。Windowsが『アンチウイルスは無効です』と繰り返し表示する一方で、IT部門が『そんなことはない』と説明すれば、いずれどちらか、あるいは両方の情報源が信頼を失うことになります」と同氏は述べています。「Microsoftは速やかにこの問題を解決する必要があります。誤ったセキュリティ警告は、セキュリティ対策の根幹をなす信頼を損なうという大きな代償を伴うからです。」
TrendMicroの一部門であるTrendAIでAIセキュリティおよび脅威調査担当バイスプレジデントを務めるTom Kellermann氏は、同社チームが分析した攻撃のうち約67%がセキュリティソフトウェアの改ざんや無効化を伴っており、これは通常「より組織的かつ侵襲的なキャンペーン」の前兆であると付け加えています。
Microsoftの注意喚起の文言は「危機管理コミュニケーションの拙い例」であり「馬鹿げている」と同氏は述べています。「その助言(警告を無視するという)を鵜呑みにしてはいけません。正確かどうかを検証し、脅威ハンティングチームを関与させるべきです」。同チームであればXDRのテレメトリを精査できます。
証拠を保全する
Digital 520のプリンシパルコンサルタントであるNoah Kenney氏は、CISOやCIOに対し、今回の状況に関する証拠を保存しておくよう助言しています。保険金請求は当初、おそらく却下されるであろうためです。
「半年後、侵害されたサーバーを調査する保険会社は、『Microsoftが不具合があったと言っていた』という説明だけではDefenderが稼働していた証明として認めないでしょう。ポップアップは『オフ』と表示していた。Microsoftは『オンだった』と言う。決着をつけるのは自社のテレメトリしかありません」と同氏は述べています。「つまり、タイムスタンプ付きのセンサーのチェックイン記録、Defenderのバージョン、報告に欠落がなかったかどうかの記録が必要になるということです。CISOは今すぐこうした記録を保存すべきです。パッチが適用されれば警告は消えますが、企業が記録を残していなければ、後から証拠を再現することはできません。」
同氏はまた、今回のMicrosoftの警告について最も懸念しているのは、非常に多くのWindowsバージョンに影響が及んでいる点だと指摘しています。
「Windows 11 26H1とWindows Server 2012は、リリースに14年もの開きがありますが、Microsoftによればこの不具合はその両方に影響し得るとのことです」と同氏は述べています。「企業はデスクトップ、サーバー、レガシーシステム、重要インフラをそれぞれ異なるパッチ適用グループに分けて管理していますが、Defenderはそのすべてで動作しています。ポップアップ自体は修正されるでしょうが、Windows環境全体を貫くこの共通の障害経路は残り続けます。そして不具合のある更新プログラムは、環境全体で同時に同じ誤ったセキュリティシグナルを生み出しかねません。」
