セキュリティ被害者がみずから招いた失態を紹介する「PWNED」へようこそ。今回取り上げるのは、極めて不健康な製品をつくる企業が、極めて不健康なセキュリティ体制を抱えていたという話です。
このお粗末なデータ管理の事例も、プロのペネトレーションテスター兼レッドチーマーであるDahvid Schloss氏から寄せられました。同氏はたばこ会社のネットワークの脆弱性を探す任務に就いていたところ、ほとんど無防備な状態で置かれた企業秘密を見つけてしまいました。
Schloss氏はまず、オープンソースの代表的なペネトレーションテストツールであるMetasploitなどを使い、ネットワークを探り始めました。意外なことに、同氏が脆弱性スキャンをかけている間も、同社のTrend Micro製アンチウイルスは一度も警告を出しませんでした。同氏はこの状況を、機関銃を撃ち続けているのに誰も銃声に気づかないようなものだと例えています。
「私はこの環境で、考えうる限りもっとも派手なツールを片っ端から使っていました」と、同氏はThe Registerに語りました。クライアントは、そもそもあまり気にしていないように見えたといいます。 「自分が提供できる価値はあまりないのではないか、と感じていました」
そこでSchloss氏は上司に、調査結果をクライアントにとってもっと有益で説得力のあるものにするには、ほかに何ができるかを尋ねました。
「シニアマネージャーに『この組織にとって何が重要かを考えてみなさい。それが漏えいしたら、事業にとってどれほど致命的になるか』と言われました」とSchloss氏は振り返ります。「製品を扱う会社ですから、思いついたのはレシピでした」
Schloss氏は、認証なし、つまり匿名でアクセスできるネットワークファイル共有の探索を始めました。オープンな共有を見つけると、ネットワークマッピングツールのNmapでスキャンしました。その結果、139番と445番のポートが開いており、システムでWindows SMBファイル共有プロトコルが動作していることがわかりました。この共有にはITや人事の機密記録が保存されていたにもかかわらず、アクセス制限は一切なく、社内の全従業員に完全に公開されていました。
情報提供のお願い
ネットワークに大きな穴を放置していた事例をご存じですか？ [email protected]までお寄せください。ご希望があれば匿名で対応します。
同氏がディレクトリをたどっていくと、「confidential（機密）」という名前のフォルダが見つかりました。中には、レシピ、製品名、サブ製品名、日付を組み合わせた名前のファイルが並んでいました。1つを開くと、そのたばこ製品の製造方法が記されており、重量や容積、含まれる各化学物質の割合まで書かれていました。
ファイルの上部には赤字で「Confidential」、下部にも赤字で「Do not share」と記されていました。
「決定的な証拠を見つけたと思いました。これはかなりまずい状況です」とSchloss氏は話します。ネットワーク上の誰もが、Windowsのエクスプローラーを使うだけでこのファイルを見つけられたと指摘しています。
Schloss氏は、データを持ち出せることを会社側に示す証拠にしようと、このファイルをダウンロードしました。
ところが上司から、ダウンロードしたファイルを削除するよう求められました。非常に機密性の高い情報なので、コピーを保持すべきではないという理由です。この判断は、のちにファイルが存在した事実を示す際の障害となりました。
その後、Schloss氏はたばこ会社のセキュリティチームに発見内容を伝え、レシピファイルがすべて厳重に保護されるものと期待していました。ところが翌朝に現地へ戻ると、思わぬ展開が待っていました。先方の担当者が訪ねてきて、同氏が見つけたレシピは本物ではないと告げたのです。担当者は、そのようなファイルが存在したことも、セキュリティ上の問題があることも否定しました。
「私たちは困惑するばかりでした。『何を言っているのか。これはどう見てもおたくのレシピだろう』という気持ちでした」とSchloss氏は語ります。「しかるべき部門にあり、しかるべきフォルダ構成の中にあり、名前の付け方も適切です。これを見れば誰でもレシピだと思うはずです」
同氏はセキュリティレポートにレシピファイルを記載しましたが、たばこ会社のセキュリティ担当者は、ファイルが本物であることも、同氏が本物のレシピを見たことも、頑として認めませんでした。両者の議論は1年続きました。Schloss氏がダウンロードしたレシピファイルは削除を余儀なくされていたため、示すことができませんでした。
「おかしいのは、契約期間の終わりごろに、あのファイルがまだフォルダにあるか確認しに戻ったことです。すると、もうなくなっていました。削除されたか、移動されたか、何かされていたのです」と同氏は話します。「つまり、指摘した内容にはやはり事実が含まれていたわけですが、先方はその発見を認めようとしませんでした」®
