GMOインターネットグループのGMOサイバーセキュリティ byイエラエは、日本企業を狙った攻撃のインフラを調査し、自律型ペネトレーションテストシステム「ARTEX」が使われていたと報告しました。ペネトレーションテストは、システムの弱点を探すために行う侵入テストです。同社によると、調査した攻撃元は日本企業約20社を標的にしていました。
イエラエは、米CrowdStrikeが9月下旬に韓国の金融機関を狙う攻撃でARTEXの使用を報告した事例と、今回の日本向け攻撃には共通の手口があるとみています。ただし、同一グループによる攻撃かどうかは、同社の推察です。
標的を絞り、複数のIPを使用
イエラエが観測できた攻撃インフラは、ほぼ日本だけを標的にしていました。約20社のうち9社は同じ業種のサイトだったといいます。また、日本企業を狙うAI利用の攻撃インフラを別に6台確認しました。
同社によると、標的になった企業のうち8社は、9〜10月に情報漏えいを公表しています。これは同一グループによる複数の被害を示す可能性があるとして、イエラエは情報を法執行機関に共有しました。公表された内容からは、漏えいした情報の種類や、個々の攻撃との因果関係までは分かりません。
WAFがあってもパッチ適用は必要
イエラエは、防御側が注意すべき点として、脆弱性情報に載るバージョンだけを確認しても不十分な場合があること、外部からの調査ではソフトのバージョンを特定できないことがあることを挙げました。
今回の攻撃では、WAFのアクセス制限を避けるため、IPアドレスを切り替えながら攻撃を続ける手口が使われたといいます。同社の説明では、使われたIPアドレスは合計で数百にのぼりました。WAFを導入していても、脆弱性へのパッチ適用を後回しにしないよう呼びかけています。
なぜ重要か
日本企業の利用者にとって、標的企業の情報漏えい発表を確認する必要がある一方、今回の報告だけでは自分の情報が漏れたかどうかは分かりません。イエラエの調査は、WAFの導入だけでは攻撃を防ぎきれず、企業には脆弱性の確認とパッチ適用が引き続き必要だと示しています。
