Vanderbilt Universityの学生と職員は、大学のデバイスを再び起動できるようになった。攻撃者が何を持ち出した可能性があるのかは、依然として明らかになっていない。
ナッシュビルにある同大学は11月9日、サイバー攻撃を受けたと公表した。ランサムウェアグループのBYODは、100万件を超える社会保障番号に加え、学生、職員、研究データを盗んだと主張している。Vanderbiltは、主張された窃取やその件数、同グループの関与を公には確認していない。
当面の課題は、侵入を調査しながらアクセスを復旧することだ。情報が関係している可能性のある人にとっては、不確実な状況だからこそ、公式の指示と攻撃者の主張を区別することも重要になる。
キャンパスへのアクセスは段階的に復旧
Vanderbiltは当初、大学のデバイスをシャットダウンし、キャンパスのWi-Fiから切断するようコミュニティーに求めていた。同大学の 11月10日午前9時の更新情報で、学生、教員、職員は大学のデバイスの利用を再開できるようになり、以下のサービスが利用可能だと示された。
- キャンパスWi-Fi。
- Okta認証。ただし、多要素認証の継続利用が必要。
- Outlook経由のVanderbiltメール。
- Brightspace、Zoom、Your Enrollment Services。
大学が11月10日朝に更新した時点では、CampusPrintを含むその他すべてのVanderbiltのシステムとアプリケーションへのアクセスは引き続き制限されていた。同大学によると、ITチームは政府機関やその他のパートナーと連携して対応していた。
Vanderbiltは、封じ込めと対応の取り組みにより、通常のコミュニケーションも制約を受けていると説明した。
Illumioの公共部門CTOであるGary Barlet氏は、この混乱は、大学のセキュリティ計画に業務継続性を組み込む必要性を示していると指摘した。
「大学は、あらゆる侵入を防げると考えてはなりません。何かが侵害された場合に、迅速に隔離し、組織の残りの部分を稼働させ続けられるようにする必要があります」とBarlet氏は述べた。
セキュリティチームにとって、復旧に関する通知では、利用を許可するサービスと、なお適用される制限を明示すべきだ。Wi-Fiに接続できるというだけでは、こうした疑問には答えられない。
100万件のSSNという数字は攻撃者の主張
BleepingComputerが報じたところでは、BYODはリークサイトにVanderbiltを掲載し、データベースを暗号化し、氏名、メールアドレス、電話番号、社会保障番号、研究情報を入手したと主張している。
同メディアはまた、BYODの身代金要求メッセージが表示されたVanderbiltのものとみられるコンピューターの写真と、影響を受けたデバイスで音声による警告が流れる様子を示す動画を受け取った。
これらの資料から、どれだけのデータが盗まれたのかは分からない。Vanderbiltは、データベースが暗号化されたことや、BYODが同大学のドメインコントローラーにアクセスしたという主張を公には確認していない。主張されているSSNの件数を、影響を受けた人の確認済み人数として扱うべきではない。
調査では、攻撃者がどのシステムにアクセスしたのか、情報がそれらのシステムから持ち出されたのか、誰の記録が関係したのかという、別々の問いに答えなければならない。
この区別は ランサムウェア復旧においても重要だ。アプリケーションを復元すれば可用性には対処できるが、不正アクセスやデータ窃取の可能性を調査するには、追加の証拠が必要になる。
「社会保障番号が盗まれていた場合、サーバーを復旧しても、その情報がさらされた事実を取り消すことはできません」と、Ridge Securityのシニアディレクター兼オフェンシブセキュリティエバンジェリストであるDarin Fredde氏は述べた。
キャンパス利用者が今すべきこと
Vanderbiltのガイダンスでは、予期しない認証要求、見慣れないプロンプト、ファイルやクラウドストレージの権限に説明のつかない変更があった場合を警告サインとして挙げている。不審な活動に気付いた人は、影響を受けたデバイスを直ちにシャットダウンし、プロンプトをクリックしたり独自に調査したりせず、別のデバイスまたは電話からIT部門に連絡すべきだ。
利用者は、次のことも行うべきだ。
- 復旧手順を独自に確認する。予期しない認証情報のリセットやソフトウェアのインストールを求められた場合は、既知の大学公式サイトを開くか、登録済みのIT連絡先を利用してから従う。
- 見慣れない認証要求を拒否する。自分が開始していないプロンプトは報告する。 セッショントークンと認証ワークフローを標的にする攻撃は、使い慣れたログインサービスからの要求だからといって、すべてを信頼できるわけではないことを示している。
- 情報漏えいを前提とせず、本人確認情報の保護を検討する。 米連邦取引委員会（FTC）は、無料の信用凍結を利用すれば、新規口座の開設を悪用した個人情報窃取を防ぐのに役立つと説明している。確認済みの情報漏えいを待たずに申請してもよい。Equifax、Experian、TransUnionには個別に連絡する。
アクセス範囲を広げる前にセキュリティチームが確認すべきこと
他の組織が対応計画を見直す際、Vanderbiltの混乱は具体的な演習の題材になる。通常のコミュニケーションツールが制限された場合でも、職員は権威ある指示を見つけられるだろうか。
セキュリティ責任者は、技術的な復旧と併せてこのシナリオをテストすべきだ。一般からアクセス可能な更新チャネルを設け、サービス復旧を承認する担当者を明確にし、影響を受けたデバイスに頼らずに不審な行動を報告する方法を利用者に説明する。
Orchid Securityの共同創業者兼CEOであるRoy Katmor氏は、侵害されたIDが何にアクセスできるのかを理解する重要性を指摘した。
「攻撃者がどのように侵入したのかはまだ分かっていません。しかし、より大きな問題は、どこまで到達できたのかです」とKatmor氏は述べた。「本当のリスクは、アクセスすべき人と、実際にそのIDで到達できる範囲との間にある隔たりです」
そのリスクを評価する組織は、学生、職員、サービス、管理者の各アカウントが実際にどこまでアクセスできるのかを確認すべきだ。過剰な権限と、1つの侵害されたアカウントによって追加のシステムまでさらされる可能性のある依存関係を特定する。
調査担当者は、証拠に基づいて、IDシステム、特権アクセス、クラウド上の活動、バックアップの完全性も調べるべきだ。 GlobalProtectランサムウェアの調査では、攻撃者が仮想化基盤やバックアップ基盤に到達していたことが判明している。だからこそ、こうした防御をテストする必要があるのであって、Vanderbiltへの侵入経路の証拠というわけではない。
Fredde氏は、利用可能な攻撃経路が閉じられたことを検証するため、攻撃テスト、是正、再テストを繰り返すサイクルを推奨した。また、復旧には攻撃者が再侵入できる経路の確認も必要だと警告した。Vanderbiltの侵入経路とテスト体制は、依然として分かっていない。
「システムをオンラインに戻すのは前進です。しかし、攻撃者のアクセスが取り除かれたことを確認するのも、仕事の一部です」とFredde氏は述べた。
Vanderbiltのコミュニティーにとって、次に重要な更新情報となるのは、不正アクセスの範囲と、確認されたデータ流出の有無を明らかにするものだ。それまでは、現在のサービスごとの指示に従い、説明のつかない活動を報告し、最終的な情報漏えい通知については、関係したと記載された実際の情報と照らし合わせて判断してほしい。
詳しく読む： パスキーを装うフィッシングで攻撃者はいかにMicrosoft 365アカウントを侵害するのかは、インシデント復旧中に認証設定の予期しない更新要求を精査すべき理由を解説している。