マイナビニュースマイナビ

【レポート】技術評論社は、「あのサイバー攻撃」にどう立ち向かったのか?

[2016/03/16 08:00] ブックマーク ブックマーク

混乱の隙を突く2回目の攻撃

翌12月6日は土曜日だった。休業日だったこともあり、午前11時過ぎに発生したサーバ・ダウンの報告が担当者の耳に届いたのは約1時間後、12時頃のことだった。

原因は、契約していたVPSのコントロール・パネルには、アカウントによるログインのほかにサーバのIPアドレスをIDとしたログイン方法があり、そちらのパスワード変更が完了していなかったことにある。

そのログイン・ルートについては前日に認識していたのだが、何度パスワード変更を試みてもエラー・メッセージが表示されてうまくいかなかったのだ。これを管理会社に報告/確認してはいたものの、双方の認識の相違により処置されないままとなっていた。攻撃者は、その隙を見逃さなかったのだ。

攻撃者は再侵入後、OSを入れ替えるという行動に移る。これによりルート権限を手に入れた攻撃者は、同社サイトへのアクセスを不審なサイトへリダイレクトされるように変更した。この攻撃に対し、もともと少人数の部署だった担当者らは全員で対応にあたったという。

技術評論社が受けた攻撃と対処

「大まかにはサーバのオペレーション担当、サーバが別サイトにリダイレクトされるのを防ぐためDNSなどの設定変更を適宜行う者、管理会社の担当者と連絡を取りながら状況を確認する者、といった分担で進めました」(担当者)

担当者らは、入れ替えられたOSの復旧と、VPSのアカウント情報自体の変更を管理会社に依頼し、復旧を待った。6日14時、不正アクセスへの対処が完了し、19時過ぎにシステムが復旧。動作やオペレーションの確認を行い、7日未明には完全復旧を確認することができた。

情報公開に対する判断

対応は、これで終わりではない。週明けの8日(月)には、全社員へ状況を報告し、ユーザーに対してはお詫び文を掲載するとともに対応の一部始終を記事として公開したのである。

「過去に攻撃によって情報流出した企業の話を見聞きして、やはり早期に出せるだけの情報公開を行うのが最もダメージの少ない方法だという認識はある程度持っていました。これは責任者を含めた担当部署内での共通認識でしたので、事態収束後、できるだけ早く情報を出すことをスタッフ間の協議で確認し、そのとおり実行しました」(担当者)

「都合の悪いことを隠蔽してもろくなことはない」とわかってはいても、いざとなるとなかなか踏み切れない企業は多い。そんな中、すべてを詳細に明らかにすると即座に決定した判断力/実行力は賞賛に値するだろう。

技術評論社では、もともと特別なサイバー攻撃対応マニュアルがあったわけではないという。担当者によれば、むしろ、この時の対応を公開した報告記事が、今後も対応手順のテンプレートとして役に立つのではないかと考えているそうだ。

当時の経緯をまとめた報告記事。攻撃を受けてからの対応が事細かに記載されている。

*  *  *

一連の流れを見てもわかるように、攻撃者はわずかな隙を突いてくる。もちろん日頃のセキュリティ対策は重要だが、どんなに策を講じていても攻撃されなくなるわけではない。

可能な限り回避するに越したことはないが、それでも攻撃を許してしまった時の対応で、企業の底力が試される。少数精鋭ながら的確な分担で切り抜け、そして迅速かつ詳細な情報公開を行った技術評論社の判断の速さには、見習うべき点が多いはずだ。

もし、自社のサイトが同様の不正アクセスを受けたら、どう対応するだろうか。この機会にぜひ一度考えてみてほしい。

※ 本記事は掲載時点の情報であり、最新のものとは異なる場合がございます。予めご了承ください。

もっと知りたい!こちらもオススメ

【レポート】事後にこそ問われる、企業の真価-セキュリティ BIG 5が選ぶ セキュリティ事故対応アワード

【レポート】事後にこそ問われる、企業の真価-セキュリティ BIG 5が選ぶ セキュリティ事故対応アワード

マイナビニュースは2月24日、「セキュリティ BIG 5が選ぶ セキュリティ事故対応アワード」を開催した。同アワードは、不幸にもセキュリティ事故/攻撃に遭ってしまったものの、その後の対応が素晴らしかった企業・団体を表彰するものだ。

関連リンク

この記事に興味を持ったら"いいね!"を Click
Facebook で TECH+ の人気記事をお届けします
注目の特集/連載
[解説動画] Googleアナリティクス分析&活用講座 - Webサイト改善の正しい考え方
Slackで始める新しいオフィス様式
Google Workspaceをビジネスで活用する
ニューノーマル時代のオウンドメディア戦略
ミッションステートメント
次世代YouTubeクリエイターの成長戦略
IoTでできることを見つけるための発想トレーニング
教えてカナコさん! これならわかるAI入門
AWSではじめる機械学習 ~サービスを知り、実装を学ぶ~
Kubernetes入門
SAFeでつくる「DXに強い組織」~企業の課題を解決する13のアプローチ~
マイクロサービス時代に活きるフレームワーク Spring WebFlux入門
AWSで作るマイクロサービス
マイナビニュース スペシャルセミナー 講演レポート/当日講演資料 まとめ
セキュリティアワード特設ページ

一覧はこちら

今注目のIT用語の意味を事典でチェック!

一覧はこちら

会員登録(無料)

ページの先頭に戻る