米連邦選挙委員会（FEC）は、ハッキング試行の報告を受けて電子提出システムをオフラインにした。11月3日の米中間選挙を1週間もたない時期に、選挙運動資金の開示が滞っている。
障害は10月26日遅くに始まり、政治委員会などの組織が選挙支出に関する期限の迫った報告書を電子提出できなくなった。同機関によると、以前に提出された報告書は引き続き検索できる。
FECは障害を確認したものの、侵入の成功を公に確認しておらず、情報が侵害されたかどうかも明らかにしていない。このインシデントが影響するのは選挙運動資金の報告であり、投票システムや開票ではない。
侵入試行の報告を受けFECがシステム停止
Reutersによると、FECの電子提出担当官は、攻撃者が同機関のシステムへの侵入を試みていると選挙運動のコンプライアンス対応企業に警告した。
「悪意ある攻撃者がFECのシステムへの侵入を試みています。その結果、ウェブからアクセスできるサービスを一時的に停止せざるを得ませんでした」と、同担当官は報道機関が確認した電子メールに記していた。
FECは別途、電子提出システムが利用できない状態だと確認し、IT担当者がサービスの復旧に取り組んでいると述べた。
10月27日の状況報告で、同機関は問題を特定し、修正を実施していると説明した。10月28日時点でも、ウェブサイトには電子提出がオフラインだと知らせる通知が表示されていた。
今回の障害により、電子報告書の提出、オンライン提出フォーム、選挙運動資金の開示を準備する組織が利用するツールが影響を受けた。提出関連の追加サービスも利用できないと報告されている。
FECは攻撃者を特定しておらず、疑われる侵入手法も明らかにしていない。また、何者かが不正アクセスに成功したことも確認していない。
障害で重要な選挙運動支出の開示が中断
このタイミングは、透明性をめぐる差し迫った懸念を生む。
選挙前の最終盤には、特定の政治支出を24時間以内に報告しなければならない一方、条件に該当する土壇場の献金や融資には48時間以内の開示義務が課される。
電子提出が利用できないため、影響を受けた組織は通常のシステムを通じてそれらの報告書を提出できず、政治支出に関する情報を一般市民が入手できる時期が遅れる可能性がある。
SecurityScorecardで公共政策部門を率いるMichael Centrella氏は、障害中に新たな開示情報をどのように受け取り、利用可能にするかをFECが対処しなければならないと述べた。
「中間選挙まであと1週間というこのタイミングは、特に憂慮すべきです。FECは過去の報告書を引き続き検索できるとしていますが、私が直ちに懸念しているのは、障害中に新しい情報がどうなるのかという点です」と、Centrella氏はeSecurity Planetに寄せたコメントで述べた。
「組織が24時間報告と48時間報告の支出報告書を提出できないと伝えられている以上、当局はそれらの開示情報を安全に受け取り、一般市民が利用できるようにする方法を確立する必要があります」
このインシデントは、選挙運営システムが侵害されたことを示すものではない。FECは連邦選挙の選挙運動資金活動を規制し、投票の運営は州や地方の当局が担っている。
「FECは投票を運営しておらず、今回の障害を、投票用紙や開票が侵害された証拠として扱うべきではありません」とCentrella氏は述べた。
同氏が懸念しているのは、選挙運動資金に関する情報へのアクセスを維持しながら、当局がこの違いを明確に伝えることだ。
過去の監査でパッチ管理に懸念
今回の障害は、同機関で以前から明らかになっていたサイバーセキュリティ上の課題を背景に発生した。
FEC監察総監室による2025年7月の監査では、同委員会のセキュリティパッチおよび脆弱性管理プログラムの有効性を検証した。
監査では、FECが概して有効で、適用される連邦政府の指針に沿った方針と手順を整備していることが判明した。しかし、旧式技術に伴うリスクや、同機関が脆弱性に対処する能力など、改善が必要な分野も特定された。
この調査結果は、既知の脆弱性が今回の障害を引き起こしたことを示すものではない。
CBTSでバーチャル最高情報セキュリティ責任者（vCISO）を務めるJohn Bruggeman氏は、同監査が同機関の対応を評価するうえで重要な背景を提供すると述べた。
「多くの組織は、こうした対策を最低限必要なものとして扱います。ここではその背景が重要です。今回のインシデント以前から修正対応が遅れていたのであれば、『侵入を許したものにパッチを適用した』という対応は、成熟し、テスト済みのプログラムを持つ組織の場合よりも、信頼性の基準が低いものになります」と、Bruggeman氏はeSecurity Planetに寄せたコメントで述べた。
この違いが重要なのは、疑われる弱点にパッチを適用しただけでは、攻撃者がシステムに侵入したか、アクセスを維持していたかどうかは明らかにならないからだ。
旧式のインフラを管理する組織にとって、今回のインシデントは 効果的なパッチ管理とセキュリティ制御の定期的な検証の重要性を改めて浮き彫りにする。
専門家、十分な証拠なしにシステムを復旧しないよう警告
FECは電子提出を迅速に復旧するよう圧力を受けているが、セキュリティ専門家は、復旧に関する判断は、報告された攻撃について調査担当者が何を突き止められるかに基づくべきだと指摘している。
Bruggeman氏は、最初に問うべきは、侵入が起きる前に不審な活動を止められたかどうかだと述べた。
「ログから、実際に誰かが侵入したのか、それとも境界で阻止されたのかを知りたい」と同氏は述べた。
「阻止されていたのであれば、サービス再開時にもその防御が機能することをチームが検証する必要があります。侵入されていたのであれば、調査担当者は攻撃者がどこに到達したかを突き止め、目先の脆弱性にパッチを適用しただけでなく、アクセスが完全に排除されたことを確認する必要があります」
同氏はまた、いつ業務を再開して安全だと判断するのか、その方法にも疑問を呈した。
「再開を承認する権限を持つのは誰で、承認する前にどのような証拠を求めるのでしょうか」とBruggeman氏は問いかけた。
こうした判断には、技術的な障害を修復する以上のことが関わる。調査担当者は、影響を受けたシステムの完全性、不審なアクセスが継続しているかどうか、復旧後にどのような監視体制を敷くかを検討しなければならない。
Bruggeman氏は、サービスを再開する前にあらゆるフォレンジック上の疑問に答える必要はないが、安全に業務を再開できるという十分な確信は必要だと述べた。
「あまりに早く再開して2度目の停止を余儀なくされるほうが、これを正しく進めるためにあと1日かけるよりも、国民の信頼に与える損害ははるかに大きいでしょう」と同氏は述べた。
この課題は、不可欠なサービスを運営する組織にとってなじみ深いものだ。最近の UNM Healthでのサイバーセキュリティインシデントも同様に、セキュリティ上の障害によって業務継続について難しい判断を迫られる可能性を浮き彫りにした。
FECの今後
当面の優先事項は、電子提出を復旧し、影響を受けた組織が義務付けられた開示情報をどのように提出すべきかを明確にし、報告された侵入試行が不正アクセスにつながったかどうかを判断することだ。
同機関は、データ窃取を公に確認しておらず、脅威アクターを特定していない。また、インシデントについて決定的な説明も示していない。
セキュリティチームにとって、より広い教訓は、障害が発生する前に復旧手順を準備しておくことの重要性だ。効果的な インシデント対応計画には、証拠の保全、サービスの復旧、代替運用手順、影響を受けたユーザーとのコミュニケーションを盛り込むべきだ。
Centrella氏は、今回の障害が選挙関連の連邦機関に関わるものだけに、明確な情報発信が特に重要だと述べた。
「投票する能力に影響があるかどうかを理解するために、サイバーインシデントを自分で解釈しなければならない状況に、人々を置くべきではありません」と同氏は述べた。
投票日が近づくなか、FECはセキュリティを損なうことなく、重要な報告サービスを復旧しなければならない。その成否は、システムをどれだけ早く復旧できるかだけでなく、新たな選挙運動資金の開示情報を確実に提出し、公開できると同機関が実証できるかどうかにもかかっている。
その他のニュース：日本企業のGMO InternetとPark24は 別々のサイバー攻撃を受けた顧客に補償している。GMOは確認された不正取引による損失を補填し、情報流出に対する追加支払いも提示する一方、Park24は侵害関連費用として推定55億円を負担する見通しだ。