信頼していたツールが脅威に変わるとき

今週のニュースを賑わせている一連のセキュリティインシデントには、不快な共通点がある。侵害されたシステムは、組織や個人が最も信頼するはずのものだったのだ。GoogleはPixelのモデムにおける積極的に悪用されているゼロクリック脆弱性を修正し、攻撃者はScreenConnectリモート管理プラットフォームをマネージドサービスプロバイダーに対して悪用し、WSO2アイデンティティインフラが積極的な悪用を受けており、石油タンカーがサイバー攻撃に見舞われた。これらを総合すると、セキュリティ研究者が繰り返し警告してきたパターンが浮かび上がる。信頼そのものが攻撃対象領域になっているのだ。

これらの出来事はどれも孤立して存在しているわけではない。モデムチップ、リモートサポートツール、アイデンティティプラットフォーム、そして重要な海上インフラの一部は、いずれもデフォルトで信頼できるように設計されている。まさにそれが、これらのシステムを魅力的な標的にしているのだ。

Pixelのゼロクリック脆弱性：クリック不要

GoogleはPixelデバイスで使用されるモデムファームウェアのゼロクリック脆弱性に対するパッチをリリースしたが、この脆弱性は修正が配布される前に積極的に悪用されていることが判明した。ゼロクリックエクスプロイトは、被害者側の一切の操作を必要としないため、特に危険である。クリックするフィッシングリンクも、開く悪意のある添付ファイルも、インストールする怪しいアプリもない。この脆弱性は、デバイスがモデムレベルで受信データを処理するだけで発動する可能性があり、つまりスマートフォンの所有者には、注意や意識によって回避する機会が事実上ないのである。

これが、モデムレベルおよびベースバンドの脆弱性がモバイルセキュリティにおいて最も深刻な欠陥の一部として扱われる理由である。これらは、ほとんどのユーザー、さらにはほとんどのアンチウイルスツールでさえ可視性を持たない層の下で動作する。この脆弱性が公開前に野生で悪用されていたという事実は、こうした低レベルのバグが高度な攻撃者にとってどれほど価値があるかを強調している。

ScreenConnectの悪用が企業が依存するMSPを標的に

攻撃者はまた、広く使用されているリモートアクセスおよびサポートツールであるScreenConnectを、それを利用するマネージドサービスプロバイダーに対して向けている。MSPは独特に敏感な立場にある。彼らは数十または数百のクライアントネットワークへの管理者アクセスを一度に任されている。MSPが使用するリモート管理ツールが侵害されたり悪用されたりすると、影響範囲はプロバイダー自体をはるかに超え、そのアクセスに依存するすべての下流クライアントに及ぶ。

この種のサプライチェーン型攻撃は、攻撃者が強化された境界を突破するのではなく、信頼関係を悪用した他の最近のインシデントを彷彿とさせる。数千のGitHubリポジトリを襲ったMegalodon攻撃が数時間で示したのは、同様の原則である。信頼されたプラットフォームの悪用を自動化すれば、被害は急速に拡大する。MSPとそれに依存する企業は、特権的なリモートアクセスの単一のポイントがすべて高価値の標的であると想定すべきである。

WSO2アイデンティティインフラが積極的な悪用に直面

WSO2のようなアイデンティティインフラは、組織が誰に何へのアクセスを許可するかを検証する方法の中心に位置する。その層が積極的に悪用されると、影響は認証のためにそれに依存するすべてのアプリケーションとサービスに波及する。これは、攻撃者が個々のアプリケーションを一つずつ破ろうとするのではなく、アイデンティティとアクセスシステムを直接狙うというより広い傾向を反映しており、企業の認証プロトコルに影響を与える最近の積極的に悪用されているNetlogon脆弱性でも見られた戦略である。アイデンティティインフラが侵害されると、防御側は多くの場合、自身のログやアクセス制御を信頼できなくなり、復旧が著しく困難になる。

サイバー攻撃が石油タンカーに到達

石油タンカーがサイバー攻撃を受けたという報告は、デジタル侵害がもはやサーバーとソフトウェアに限定されないことを想起させる。海上輸送はネットワーク化されたナビゲーション、通信、運用システムにますます依存しており、そのインフラへの攻撃はデータ損失を超えて物理世界の結果をもたらす。

これがあなたにとって意味すること

ほとんどの読者は石油タンカーやアイデンティティプラットフォームを直接管理することはないだろうが、根底にある教訓は広く当てはまる。Pixelのゼロクリック脆弱性は日常のスマートフォンユーザーに影響を与え、パッチを延期するのではなく、デバイスを直ちに更新し続けることの強い根拠となる。ITサポートにMSPを利用している場合、または你的組織がサードパーティのリモートアクセスツールに依存している場合は、どのような監視とアクセス制御が実施されているかを確認してほしい。モバイルモデム、リモートサポートプラットフォーム、ソフトウェアダウンロードのいずれであっても、サプライチェーンの信頼は、そのチェーンの中で最も弱いリンクと同じ強さしかない。これは、正規のインストーラーを悪意のあるものとすり替えたJDownloaderサプライチェーン侵害でも見られる教訓である。

実行可能な要点

ゼロクリック脆弱性は悪用にユーザーの過失を必要としないため、最新のPixelセキュリティアップデートが利用可能になり次第、直ちにインストールしてほしい。あなたのビジネスがScreenConnectまたは同様のリモート管理ツールを使用している場合、アクセスログがレビューされていること、およびすべての管理者アカウントで多要素認証が強制されていることをMSPと確認してほしい。WSO2または同様のアイデンティティインフラを運用している組織は、利用可能なパッチを直ちに適用し、異常がないか認証ログを監査すべきである。そして、重要なインフラに触れる業界にいる人にとって、この一連のインシデントは、攻撃が発生した後ではなく、今すぐインシデント対応計画を見直すべきだというシグナルである。