米国のソフトウェア会社が提供するファイル転送ソフトの脆弱性を突かれ、利用企業や団体から個人情報が大量に漏洩

何が起きたか

この事故で流出した、または流出したおそれがある情報は、利用企業・団体がこのソフトでやり取りしていたファイルとデータベースの情報。総数は当事者から公表されていない。Emsisoftの集計では2023年11月時点で2,618組織、7,700万人超（報道）です。その後の対応と影響は、ソフトウェア会社は5月30日に利用者へ連絡し、クラウド版を停止して調査し、5月31日に修正版を出した。米CISAとFBIは6月7日に共同で注意喚起を出した。会社は集団訴訟の対応を続けているです。

原因になったのは「ファイル転送ソフトの未知のSQLインジェクション脆弱性」です。公表された内容では、生成AIは事故に関わっていません。

なぜ起きたか

米国の当局によると、攻撃者はインターネットに公開されたファイル転送ソフトの画面に対して未知のSQLインジェクションを行い、ウェブシェルを置いてデータベースからデータを盗んだ。修正版が出る前から悪用が始まっていた。

原因の種類は「不正アクセス」です。第三者がシステムに入り、情報を見たり持ち出したりした事故を指します。このサイトに掲載している事故のうち、同じ種類の原因で起きた事故は131件あります。

事故が起きてから公表されるまで

1. 2023年5月27日ごろ攻撃者が脆弱性の悪用を始める
2. 2023年5月28日利用者から異常の連絡がソフトウェア会社に入る
3. 2023年5月30日会社が利用者へ連絡し、クラウド版を停止する
4. 2023年5月31日修正版を公開する
5. 2023年6月7日米CISAとFBIが攻撃集団と手口について注意喚起する

どうすれば防げたか

上の流れでは、最初から公表まで、途中で異常に気づいて止める仕組みが働いていません。

止められた可能性がある所（当社の見立て）

外部とファイルをやり取りするソフトをインターネットに公開する範囲を必要な相手に絞り、修正版を出た当日に当てる手順を決めておけば、被害を小さくできた可能性がある。利用中の外部ソフトの一覧を持つことも前提になる。

この見立ては、公表された原因から当社が考えたものです。当事者の調査の結果とは異なる場合があります。

自社で確認する3つの手順

上から順に、短い時間で確認できるものを並べています。

1. 社内と委託先で使っているファイル転送・共有のソフトとサービスを一覧にする
2. それぞれがインターネットから接続できるか、接続元を限定しているかを確認する
3. 提供元の脆弱性情報を受け取り、修正版を当てるまでの担当と期限を決める

自社に同じ原因があるか

当てはまるものを選んでください。1つでも当てはまれば、この事故と同じ原因が自社にもある可能性があります。

出典と更新の履歴

• Progress Software Form 8-K（2023年6月5日提出）2023.06.05
• #StopRansomware: CL0P Ransomware Gang Exploits CVE-2023-34362 MOVEit Vulnerability（CISA）2023.06.07
• Known MOVEit Attack Victim Count Reaches 2,618 Organizations（BankInfoSecurity）2023.11.20