Oracle PeopleSoftをめぐるShinyHuntersの攻撃に新たな詳細が判明した。当初は単一のゼロデイとして説明されていたものが、実は3つの連鎖した脆弱性であったことが明らかになった。報告によると、ShinyHuntersはこれらの脆弱性を組み合わせ、ログインを必要とせずにサーバーを乗っ取ったものであり、攻撃は複数の業界にまたがっている。

このことはITチームの範囲をはるかに超えて重要である。PeopleSoftはエンタープライズソフトウェアであるため、最も影響を受ける人々は脆弱なシステムに直接触れたことすらないかもしれない。本記事では、何が報告されたのか、誰が晒される可能性があるのか、そしてどのような実践的な対策を取れるのかを説明する。

何が起きたのか：3つの連鎖したPeopleSoftの脆弱性

中心となる発見は、ShinyHuntersが3つの連鎖したOracle PeopleSoftの脆弱性を悪用し、認証なしでのサーバー乗っ取りを可能にしたというものである。「認証なし」とは、攻撃者が開始するのにユーザー名もパスワードも必要としないことを意味する。「連鎖」とは、各脆弱性は単独では完全な制御をもたらさないかもしれないが、順番に使用することでそれが可能になることを意味する。

これは深刻な侵入においてよく見られるパターンである。1つのバグが攻撃者に本来アクセスすべきでないものへの到達を許し、別のものが権限を昇格させ、3つ目がサーバー上でのコマンド実行を可能にするかもしれない。このインシデントの初期の説明では単一のゼロデイとして位置づけられていたが、連鎖的な性質は、攻撃が当初の報告よりも意図的で込み入ったものであったことを示唆している。

情報源の記事によると、攻撃は複数の業界にまたがっている。提供された資料にはそれ以上の詳細はないため、特定の被害者、記録件数、タイムラインをここで推測するのは誤りであろう。PeopleSoftを運用している組織は、具体的な内容についてはOracle自身のガイダンスと自社のセキュリティチームに依拠すべきである。

PeopleSoft侵害後に誰がリスクに晒されるか

PeopleSoftは通常、大規模組織内のバックオフィス機能を運用するために使用される。それを稼働させるサーバーが乗っ取られると、通常、影響は組織自体だけでなく、そのシステムが保持する記録の対象者にも及ぶ。

これには以下が含まれ得る：

  • 従業員：その人事や給与情報が接続システムに保存されている可能性がある。
  • 学生や志願者：その学校が記録や入学管理にPeopleSoftを使用している場合。
  • 顧客：組織がその詳細をPeopleSoftを基盤とするシステムに保持している場合。

重要な点は、あなたが何も悪いことをしていなくてもよいということである。あなたの雇用主、学校、または取引のある企業が脆弱なサーバーを運用している場合、あなたがそれに一度もログインしたことがなくても、あなたのデータはリスクに晒されているかもしれない。あなたの情報が実際にアクセスされたかどうかは組織次第であり、だからこそ明確な通知を求めることが重要なのだ。

盗まれたデータがフィッシングやアカウント乗っ取りを助長する仕組み

サーバーの乗っ取り自体は最初の一歩にすぎない。盗まれたデータがその後どうなるかが、しばしば個人にとって最も大きな害となる。

氏名、メールアドレス、役職、内部情報は、フィッシングメッセージをはるかに説得力のあるものにする。あなたの実際の雇用主、部署、学校に言及するメッセージは、一般的な詐欺とは違って正規のものに見える。攻撃者は人事部、ITサポート、または奨学金事務局を装い、パスワードの「確認」やリンクのクリックを求めることができる。

複数のサービスでパスワードを使い回している場合、侵害で露出した認証情報が他の場所でも試される可能性があり、これはクレデンシャルスタッフィングとして知られる手法である。これが、元の侵入から数週間後に二次攻撃が現れ得る理由であり、聞いたこともない侵害が依然として受信トレイに不審なメールをもたらし得る理由である。

連鎖的な悪用はこの事例に固有のものではない。UTA0565がChromeとWindowsのゼロデイを連鎖させてCLEANGULPを配布した事例に関する我々の報道は、同じ戦略を示している。すなわち、いくつかの弱点を結びつけることで、単独ではなし得ないことを共に達成するのである。

あなたにとってこれが意味すること

あなたがPeopleSoftを使用する組織の従業員、学生、または顧客である場合、あなた自身でサーバーにパッチを適用することはできない。できることは、あなたのデータが露出した場合の被害を軽減することである：

  • あなたの雇用主や学校に言及するメッセージは、漏洩した詳細から作り上げられている可能性があると想定する。
  • 盗まれたパスワードだけでは不十分となるよう、アカウントを保護する。
  • 組織からの通知に注意を払い、何も届かなければそれを求める。

VPNはここではあなたを守らない。露出はあなたの接続上ではなく組織のサーバー上で発生したため、重要なのはアカウントのセキュリティと警戒心である。

あなたの雇用主や学校がPeopleSoftを使用している場合にすべきこと

  1. 直接尋ねる。 人事部、IT部門、または教務課に連絡し、PeopleSoftを運用しているか、影響を受けたか、侵害通知が予定されているかを尋ねる。
  2. 多要素認証（MFA）を有効にする：仕事用、学校用、メール、銀行のアカウントで。認証アプリやハードウェアキーは、SMSコードよりも強力である。
  3. 使い回しているパスワードを変更する：パスワードマネージャーを使用して、各アカウントに固有のパスワードを設定する。
  4. アカウントを監視する。 不審なサインイン、あなたが要求していないパスワードリセットのメール、見慣れない金銭的活動に注意する。
  5. 予期しないメッセージは疑ってかかる。 メールやテキストが人事部、IT、または学校の事務局からのものであると主張する場合、そのリンクをクリックしない。公式サイトに直接アクセスするか、既知の電話番号に電話する。
  6. 受け取った侵害通知の記録を保管する：そして信用監視や個人情報保護に関するその助言に従う。

まとめ

Oracle PeopleSoftをめぐるShinyHuntersの攻撃は、あなたのデータの安全性はそれを保持する最も脆弱なサーバーの安全性にすぎないということを思い起こさせる。単一のゼロデイから3つの連鎖した脆弱性への移行は、攻撃者が単一のパスワードを必要とせずにエンタープライズシステムへの信頼性の高い経路をいかに構築するかを示している。

あなたは雇用主や学校がソフトウェアにパッチを適用する方法を制御することはできないが、MFAを有効にし、アカウントを監視し、予期しないメッセージを疑い、侵害通知を書面で求めることはできる。連鎖的なゼロデイ悪用が実際にどのように機能するかの別の例として、UTA0565とCLEANGULP攻撃について読まれたい。