ゆめさくセキュリティ

2018年9月5日に発覚、海外、航空運送

ブリティッシュ・エアウェイズ 決済ページ改ざん事件

委託先のMFA未設定のアカウントから侵入され決済ページのJSが改ざんされカード情報が流出した

何があったか

2018年6月22日から9月5日にかけて、ブリティッシュ・エアウェイズ(BA)のウェブサイトで攻撃が続いた。攻撃者は貨物サービス業者スイスポートの従業員に発行されていたリモートアクセス用のアカウントを乗っ取り、多要素認証が設定されていなかったことから、そのままBAのネットワークに入り込んだ。そこからCitrixの環境を抜け出して社内のより広い範囲に入り、ドメイン管理者の認証情報が平文で保管されたファイルを見つけて管理者権限を得た。さらにサーバを渡り歩き、決済の再発行処理のログに平文で記録されていたカード情報約10万8000件を見つけた。

8月14日から25日にかけてBAのウェブサイトのJavaScriptファイルを書き換え、顧客が入力した氏名、住所、カード番号、セキュリティコードをBAways.comという攻撃者の管理する外部のドメインへ送る仕組みを仕込んだ。改ざんは8月21日から9月5日までの15日間動き続け、通常の予約と決済の画面はそのまま表示されたため、顧客は異変に気づけなかった。9月5日、第三者からBAwaysへのデータ送信を指摘され、90分で不正なコードを修正し、20分後に当該ドメインへの通信を遮断した。翌6日に情報コミッショナー事務局(ICO)や取引銀行、約49万6636人の顧客に通知し、7日にはさらに3万9480人へ通知した。

入口
貨物サービス業者スイスポートの従業員向けに発行されていたリモートアクセス用アカウントが乗っ取られ、多要素認証が設定されていなかったため、そのままBAのネットワークへの侵入を許した
決め手の失敗
委託先のリモートアクセス用アカウントに多要素認証を適用しておらず、ドメイン管理者の認証情報を平文のファイルに保管し、さらに決済の再発行処理のログにカード情報を平文で残す設定ミスが重なっていた
被害
決済ページで入力されたカード情報が外部ドメインへ送信され、約42万9612人の情報(氏名住所カード番号とセキュリティコードが24万4000件、カード番号とセキュリティコードのみが7万7000件、カード番号のみが10万8000件)の流出の可能性が確認された

攻撃の流れ

  1. 入口委託先スイスポートの従業員向けリモートアクセス用アカウント(多要素認証なし)の認証情報が奪われ、BAのCitrix環境に侵入された
  2. 権限の奪取Citrix環境を抜け出して社内ネットワークに広がり、平文のファイルに保管されていたドメイン管理者アカウントの認証情報を見つけ、強い権限を得た
  3. 偵察複数のサーバを渡り歩き、決済の再発行処理のログに平文で残っていた約10万8000件のカード情報を見つけた
  4. 持ち出し8月14日から25日にかけてウェブサイトのJavaScriptファイルを書き換え、入力されたカード情報を攻撃者の管理する外部ドメインへ送る仕組みを仕込んだ。この改ざんは8月21日から9月5日まで15日間動き続けた
  5. 影響顧客が決済ページでカード情報を入力するたびに外部へコピーが送られ、約42万9612人分の情報が流出した可能性があるとされた

数字で見る

  • 24万4000件 氏名住所カード番号とセキュリティコードが流出した顧客[1]
  • 7万7000件 カード番号とセキュリティコードのみが流出した顧客[1]
  • 10万8000件 カード番号のみが流出した顧客[1]
  • 約42万9612人 影響を受けた可能性のある人数[1]
  • 49万6636人 9月6日に通知した顧客[1]
  • 3万9480人 9月7日に追加で通知した顧客[1]
  • 1億8339万ポンド 制裁金の意向通知(NOI)の額[1] 2019年7月4日の通知時点
  • 2000万ポンド 最終的な制裁金の額[1] 2020年10月16日の最終通知

気づいたきっかけ

2018年9月5日、第三者からbritishairways.comのデータがBAways.comへ送信されていると知らされて気づいた

対応と復旧

通知から90分で不正なコードを修正し、20分後にBAways.comへの通信経路を遮断した。翌日にICO、取引銀行、決済スキーム、顧客に通知し、カード情報の盗難で金銭的損害を受けた顧客への補償と無料のクレジットモニタリングを申し出た。英国警察、民間航空局、歳入関税庁、運輸省、国家犯罪対策庁、国家サイバーセキュリティセンターなど複数の当局にも連絡し、協力した。侵害後は次世代アンチウイルスとEDR(CrowdStrike Falcon)を導入した

組織が認めた原因と、決めた対策

認めた原因

  • 委託先向けのリモートアクセスアカウントに多要素認証を適用していなかった
  • ドメイン管理者アカウントの認証情報が平文のファイルに保管されており、同じ領域の利用者であれば閲覧できる状態だった
  • 決済の再発行処理において、カード情報(多くの場合セキュリティコードを含む)を平文のログに不必要に記録する設定になっており、2015年12月からこの状態が続いていた
  • アプリケーションのホワイトリスト化やサーバの堅牢化、より踏み込んだ侵入テストなど、Citrix環境からの抜け出しを防ぐ技術的・組織的な対策が不十分だった

公表した再発防止策

  • すべてのリモートアクセスアカウントに多要素認証を導入した
  • 次世代アンチウイルスとEDR(CrowdStrike Falcon)を導入した
  • 意図せずカード情報を記録していたログの機能を無効化した
  • Citrix環境からの抜け出しを防ぐためグループポリシーを拡張した

自分のサービスで確かめること

  • 委託先や保守用を含め外から入れるアカウントに多要素認証の例外が残っていないか確かめる
  • 管理者権限の認証情報が平文のファイルやスクリプトに残っていないか棚卸しする
  • 決済情報やセキュリティコードをログや一時ファイルに不必要に残していないか確かめる
  • 自社のウェブページに読み込まれるJavaScriptが意図したものから変わっていないか継続して確かめる仕組み(整合性の監視など)があるか確かめる
  • 侵入から検知までにかかる時間を測り、第三者の指摘に頼らず自分で気づける監視体制か確かめる

関わる攻撃とレッスン

攻撃の種類

学べるレッスン

時系列

  1. 2018年
  2. 6月22日 侵入 委託先スイスポートの従業員向けアカウントを使った不正アクセスが始まった[1]
  3. 8月21日 侵入 改ざんされたJavaScriptがBAのウェブサイトで動き始め、入力されたカード情報の外部送信が始まった[1]
  4. 9月5日 発覚 第三者の指摘で不正なデータ送信に気づき、90分でコードを修正し、20分後に通信を遮断した[1]
  5. 9月6日 公表 ICO、取引銀行、決済スキーム、約49万6636人の顧客に通知した[1]
  6. 9月7日 公表 追加で3万9480人の顧客に通知した[1]
  7. 2019年
  8. 7月4日 処分 ICOが制裁金の意向通知(NOI)を出し、1億8339万ポンドを提案した[1]
  9. 2020年
  10. 10月16日 処分 ICOが最終的に2000万ポンドの制裁金を科す処分通知(Penalty Notice)を出した[1]

攻撃した側について

ICOの処分通知では攻撃者は一貫して『the Attacker』とのみ記載されており、個人や集団の名前は示されていない

出典

2026年10月24日に開いて確かめました。本文の [1] などの数は、この一覧の番号です。

  1. Penalty Notice (Case ref COM0783542) Information Commissioner's Office (ICO)、2020年10月16日、公的機関の資料