F5のCEO、フランソワ・ロコ＝ドヌー氏は、企業の決算説明会で、国家主導の攻撃者による自社システムへの長期的かつ持続的なアクセスの後、顧客への影響は2つのカテゴリーに分かれると述べました。1つはBIG-IPソフトウェアおよびハードウェアへの緊急の広範なアップデート、もう1つは攻撃中に設定データが盗まれた顧客です。
「率直に言って、顧客が非常に迅速にリソースを動員し、これらのアップグレードを短期間で本番環境に導入できたことに非常に感銘を受けました」とロコ＝ドヌー氏は月曜日に述べました。F5は、開示後に数千社の顧客が重要なアップデートをインストールするのを支援したとも付け加えました。
F5が8月9日に認識し、10月15日に開示した長期攻撃に関する最新の評価によると、F5は侵害を封じ込め、影響を限定できたと引き続き楽観的に見ています。この侵害は、開示時に連邦サイバー当局から異例の緊急指令を引き起こし、規制当局への提出書類で明らかにされました。
「当社の最大手顧客の多くが、最小限の混乱でアップデートを完了しています」とロコ＝ドヌー氏は述べ、「北米のあるテクノロジープロバイダーは、最初の週末の6時間で814台のデバイスのアップデートを完了しました」と付け加えました。
データ流出は「当社顧客のごく一部に影響を与えました」が、F5の内部システムへの攻撃によって露出したデータと顧客の全範囲についての調査は継続中だとロコ＝ドヌー氏は述べました。初期の対応と復旧作業で影響を受けた一部の顧客が特定され、F5はそれらの組織に通知し、流出した可能性のあるデータの詳細を共有したと付け加えました。
この侵入により、特定されていない国家主導の攻撃者は、BIG-IPのソースコードの一部、顧客の設定データ、および当時F5が社内で対応していた未公開の44件の脆弱性を盗むことができました。
ロコ＝ドヌー氏は、影響を受けたことが判明しているほとんどの顧客は、F5のシステムから盗まれたデータの種類について比較的安心していると述べました。「これまでのところ、顧客からの最も一般的なフィードバックは、そのデータは機密性がなく、心配していないというものです」と彼は述べました。「当社の顧客管理システムやサポートシステムへの影響はありませんでした。」
F5は、攻撃者によって盗まれた顧客設定データにどのような情報が含まれていたかについては説明していません。
また、ベンダーは盗まれたBIG-IPソースコードから発見される可能性のある脆弱性による影響も限定できると自信を示しています。F5が対応と復旧作業のために招いたNCC GroupおよびIOActiveは、ソースコードに重大度の高い脆弱性は見つからず、同社の重要なソフトウェア、製品、開発環境で悪用された欠陥の証拠も発見しなかったと証言しています。
F5は、サードパーティの専門家の支援を受けてコードのスキャンを継続し、「もし脆弱性があれば直ちに修正することを確実にする」とロコ＝ドヌー氏は述べました。同社はバグバウンティプログラムを強化し、顧客やAIツールがF5のコードでペネトレーションテストを行えるセンターも設置する予定です。
ロコ＝ドヌー氏は、F5がCrowdStrikeと提携し、BIG-IP環境にエンドポイント検知・対応（EDR）機能を導入したことにも言及しました。これにより、顧客の導入環境に追加の監視・可視化レイヤーが提供され、「業界では前例のないことだ」と述べました。「これまで境界デバイスにEDRが本格的に導入された例はありません。」
F5は、CrowdStrike Falcon EDRの提供に関連する費用は、サイバー保険または一時的な修復費用でカバーされると見込んでいます。
同社は、今回の攻撃による短期的な業績への影響を予想しており、顧客が脅威の調査や自社環境のセキュリティギャップの修復に注力することで、販売サイクルの混乱も含まれると、最高財務責任者のクーパー・ワーナー氏が決算説明会で述べました。
F5は投資家に対し、2026会計年度の収益成長率は0％から4％になると伝えており、顧客からの需要減少は年の前半により顕著になる見込みです。
「このような事態が発生したことを残念に思っており、BIG-IPのアップグレードや環境の保護のために長時間働かざるを得なかった顧客にご負担をおかけしたことを、チームとしても会社としても強く認識しています」とロコ＝ドヌー氏は述べました。
「高度な国家主導の脅威アクターがテクノロジー企業、特に最近では境界セキュリティ企業を標的にしていることは明らかです」と彼は述べました。「私たちはこのインシデントから学び、顧客や同業他社と知見を共有し、業界全体で重要インフラの保護を強化するために協力的なイノベーションを推進することを約束します。」
翻訳元: https://cyberscoop.com/f5-attack-limited-impact-earnings-call/
