正体不明の攻撃者がフィリピン海外雇用庁（POEA）の機密データベースに侵入し、労働者、契約、財務記録に関する約69GBの情報を外部へ持ち出していたことが分かりました。侵害に使われたステージングサーバの分析で判明したものです。
脅威インテリジェンス企業のHunt.ioが10月28日に公表した分析によると、攻撃者は24分間で、海外雇用に関する案件管理の情報を含む27件のバックアップデータベースをコピーしました。対象には、認定、契約、出納、LandBank関連の記録が含まれます。分析は、攻撃者が使用したシンガポールのステージングサーバに残っていたログに基づいています。攻撃者は権限昇格ツールのGodPotatoとSeImpersonate、そしてPython用ネットワークライブラリのImpacketを使ってデータを移動させました。ただし、痕跡はステージングサーバで途切れていると、Hunt.ioの調査責任者エステバン・ボルヘス氏は述べています。
ボルヘス氏によると、このサーバには後から何者かがアクセスしていますが、誰によるものかは不明です。Hunt.ioは、このデータが販売目的で宣伝されているのを現時点で確認していません。情報が検知されて削除された可能性もありますが、同氏はその可能性は低いとみています。
「バックアップがステージングサーバで止まっていたとは考えていません」と同氏は語ります。「データは機関の管理下から持ち出されており、ログでも転送の完了が確認できるため、これは侵害にあたります」
フィリピン政府のデータが盗まれた証拠をサイバーセキュリティ企業が見つけたのは、今回が初めてではありません。8月には、Hunt.ioが別の攻撃者の作業環境を発見しています。そこには多数のツールに加え、フィリピンの原子力規制機関と海事造船関連の請負業者から盗まれた1.2GBのデータが置かれていました。1年前には、フィリピン警察が、ある小さな町の女性市長を逮捕しています。この市長はフィリピン国民になりすました中国人で、サイバー詐欺拠点を運営していたことが発覚したのです。
今回の事案に中国やサイバー犯罪グループが関与しているかどうかは分かっていません。Hunt.ioはコードの一部に中国語の断片を確認しましたが、それはサードパーティ製ソフトウェアライブラリのものでした。このため、攻撃者の特定には至っていません。ただし同社は、サイバー犯罪者と国家支援の攻撃者のどちらにとっても、個人を特定できる情報（PII）には価値があると指摘しています。
「移民労働者のPIIに契約や支払いのデータが加われば、詐欺や個人情報の窃取に使えるため、商業的な価値があります」とボルヘス氏は話します。「国外居住者集団の詳細な地図にもなるので、国家の関与する攻撃者が関心を持つ可能性もあります」
一流ではないが、素人でもない
フィリピン政府への攻撃に関する今回の新たな手がかりは、Hunt.ioの研究者が、ヘルシンキに拠点を置くUpCloud Ltd.のシンガポール側アドレス空間にあるサーバ上で、公開状態のディレクトリを発見したことで得られました。分析によると、このディレクトリには攻撃に使われたツールやログファイルが置かれていました。具体的には、名称を変更したGodPotato権限昇格ライブラリ、ツールをメモリ上に展開するPowerShellステージャー、そしてImpacketのPython環境一式です。
Hunt.ioは今回の事案を侵害が確認されたものと位置づけています。しかし、実行時のテレメトリがないため、攻撃者がデータをどこへ移したのかについては、ボルヘス氏も答えられないといいます。
「どのように侵入したのか、ペイロードが実行されたのか、データがどこへ渡ったのかは、いまだに分かりません」と同氏は述べます。
一方で、ツールや攻撃者の手口からは、高い技術力を持ちながら、単純なミスも犯す operator の姿が浮かぶと、ボルヘス氏は指摘します。
「ペイロードの作り込みは優れていますが、運用上のセキュリティはお粗末です。ステージングサーバとそのログを無防備に公開したままにしていました」と同氏は言います。「ツールを適切に作れる一方で、自分のサーバを目立たなくする配慮に欠けた人物です。一流とも素人とも言えません」
行方が分からないフィリピン人労働者のデータ
今回の侵害の影響は、攻撃者の正体と、盗んだデータの使い道次第で大きく変わる可能性があります。Hunt.ioはフィリピンのCERT（CERT-PH）と移民労働者省（DMW）に通知しましたが、同社は、両機関による流出への対応の詳細については明らかにしていません。
ただしボルヘス氏は、これまでのところ、この情報がダークウェブで販売されている形跡はないと述べました。
「バックアップが販売されたり、リークされたりしているのは確認していません」と同氏は話します。「バックアップそのものは開いていません」
同氏は、地域各国の政府に対し、自らのネットワークをスキャンして攻撃対象領域を絞り込む必要があると訴えます。ユーザーに過剰な権限が与えられていると、SeImpersonateなどのツールを使う攻撃者がネットワーク上の資産へさらに広くアクセスできてしまうためです。Hunt.ioは、移民労働者向けポータルが複数の危険なポートを公開していることも確認しました。445番のSMBのほか、5985番と47001番のWinRMなどです。
