ゆめさくセキュリティ

2021年5月7日に発覚、海外、エネルギー (燃料パイプライン)

Colonial Pipeline のランサムウェア被害

使われていないはずの古いVPNが単要素のパスワードだけで通り、全線の停止に至った

何があったか

2021年5月7日の午前5時前、コロニアル・パイプラインの従業員がIT網のシステムで身代金を要求する文面を見つけた。運用統括のオペレーションセンターはただちに停止命令を出し、5時55分ごろから停止作業を始め、6時10分までに13州とワシントンD.C.にまたがる5,500マイル全線の停止を確認した。攻撃を受けた時点でどこからどこまで侵入されたか分からなかったため、会社はマルウェアが運転を制御するOT網に広がらないよう、全系統を止める判断をした。このパイプラインは東海岸の燃料供給のおよそ45%を担っており、停止は東海岸各地での燃料のパニック買いと品薄を招いた。

同社はその日のうちにFBIへ通報し、外部の専門家の支援も得てシステムを点検したうえで、5月12日の夜までに全パイプラインの運転を再開させた。のちにCEOは上院の公聴会で、使われていないはずの古い仮想プライベートネットワーク (VPN) のアカウントが攻撃者に悪用され、そのアカウントには単要素のパスワードしかかかっていなかったと証言した。会社は攻撃者に75ビットコイン (当時約440万ドル) の身代金を支払い、6月7日に米司法省がそのうち63.7ビットコイン (約230万ドル) を押収したと発表した。

入口
使われていないはずの古い仮想プライベートネットワーク (VPN) のアカウントが攻撃者に悪用された。そのアカウントは複雑なパスワードではあったが、多要素認証はかかっていなかった
決め手の失敗
停止するはずだった古いVPNのプロファイルが残っており、単要素のパスワードだけで外から入れた。攻撃者がどうやってそのパスワードを手に入れたかは、公聴会の時点でも分かっていなかった
被害
13州とワシントンD.C.にまたがる5,500マイルのパイプライン全線を一時停止し、東海岸の燃料供給のおよそ45%が止まった。会社は75ビットコイン (当時約440万ドル) の身代金を支払い、うち63.7ビットコイン (約230万ドル) を米司法省が押収した

攻撃の流れ

  1. 入口使われていないはずの古いVPNのアカウントが悪用された。そのアカウントは単要素のパスワードしかかかっておらず、攻撃者が認証情報をどう手に入れたかは調査が続いていた
  2. 展開DarkSideと呼ばれるランサムウェアがIT網のシステムに展開され、身代金を要求する文面が残された。OT網 (パイプラインの運転を制御する系統) が直接影響を受けた形跡は無かった
  3. 対応と停止身代金要求に気づいた従業員が運用統括に伝え、マルウェアがOT網に広がるのを防ぐため、会社は自らの判断でパイプライン全線を停止した
  4. 影響東海岸の燃料供給のおよそ45%を担うパイプラインが止まり、沿道の各地で燃料のパニック買いと品薄が起きた

数字で見る

  • 5,500マイル パイプラインの長さ[4] 13州とワシントンD.C.にまたがる
  • 約45% 東海岸の燃料供給に占める割合[4]
  • 75ビットコイン 支払った身代金[4] 当時の価値で約440万ドル
  • 63.7ビットコイン 米司法省が押収した額[3] 発表時点の価値で約230万ドル
  • 約15分 停止作業にかかった時間[4] 5時55分ごろの停止開始から6時10分の全線停止確認まで

気づいたきっかけ

2021年5月7日の午前5時前、従業員がIT網のシステムで身代金を要求する文面を見つけた

対応と復旧

身代金要求に気づいた従業員が運用統括のオペレーションセンターに伝え、同センターが停止命令を出した。5時55分ごろから停止作業を始め、6時10分までに全線の停止を確認した。同社はその日のうちにFBIへ通報し、外部の専門家 (フォレンジックの専門会社など) の支援を得てシステム全体を点検したうえで、5月12日の夜までに全パイプラインの運転を再開させた。悪用された古いVPNのプロファイルは停止し、追加の防御の層を全社に実装した

組織が認めた原因と、決めた対策

認めた原因

  • 使われていないはずの古い仮想プライベートネットワーク (VPN) のプロファイルを攻撃者に悪用された
  • そのVPNのアカウントは複雑なパスワードではあったが、多要素認証をかけていなかった
  • 攻撃者がどのようにしてその認証情報を手に入れたかは、公聴会の時点でも調査中だった

公表した再発防止策

  • 悪用された古いVPNのプロファイルを停止した
  • 追加の防御の層を全社のシステムに実装した
  • 外部の専門家の支援を得て、他の防御体制の強化に取り組んだ

自分のサービスで確かめること

  • 使っていないVPNやリモートアクセスのアカウントが残っていないか棚卸しする
  • すべてのリモートアクセスに多要素認証がかかっているか、例外なく確かめる
  • ITとOTの網が分離され、IT側が侵害されてもOT側を安全に止められる手順があるか確かめる
  • 身代金要求に気づいてから停止までの判断の手順と、誰が止める権限を持つかが明文化されているか確かめる
  • 攻撃を受けたらすぐ法執行機関に通報できる体制になっているか確かめる

関わる攻撃とレッスン

攻撃の種類

学べるレッスン

時系列

  1. 5月7日 発覚 午前5時前、IT網のシステムで身代金を要求する文面が見つかった[4]
  2. 5月7日 対応 運用統括が停止命令を出し、5時55分ごろから停止作業を始め、6時10分までに5,500マイル全線の停止を確認した[4]
  3. 5月8日 公表 会社がサイバーセキュリティ攻撃の被害に遭ったことを公表し、外部の専門機関に調査を依頼したと発表した (確認できた最古の保存版の日付)[5]
  4. 5月10日 公表 FBIがDarkSideのランサムウェアによる侵害だと確認する声明を出した[2]
  5. 5月11日 公表 CISAとFBIが共同の注意喚起 (AA21-131A) を出した[1]
  6. 5月12日 復旧 夜までに全パイプラインの運転を再開した[4]
  7. 6月7日 公表 米司法省が支払われた身代金の一部、63.7ビットコインの押収を発表した[3]
  8. 6月8日 公表 CEOが上院国土安全保障・政府問題委員会の公聴会で証言した[4]

攻撃した側について

公的機関が名指しした攻撃者 DarkSide

FBIが2021年5月10日の声明で、DarkSideのランサムウェアによる侵害だと確認した。CISAとFBIの共同の注意喚起 (AA21-131A) も同じ名前を使い、DarkSideの攻撃者がIT網にランサムウェアを展開したと書いている。被害企業もFBIに対し、DarkSideという名の組織に認証情報を使われ身代金を要求されたと報告している

出典

2026年10月24日に開いて確かめました。本文の [1] などの数は、この一覧の番号です。

  1. DarkSide Ransomware、重要インフラの事業者向けの事業中断を防ぐための実践 CISA、FBI、2021年5月11日、公的機関の資料
  2. コロニアル・パイプラインの網の侵害に関するFBIの声明 FBI、2021年5月10日、公的機関の資料
  3. ランサムウェアの恐喝者DarkSideに支払われた230万ドル相当の暗号資産の押収を米司法省が発表 米司法省、2021年6月7日、公的機関の資料
  4. 重要インフラへの脅威、コロニアル・パイプラインへのサイバー攻撃の検証 (S. Hrg. 117-429) 米上院国土安全保障・政府問題委員会、2021年6月8日、議会の資料
  5. メディア向け声明、コロニアル・パイプラインのシステム障害 Colonial Pipeline Company、2021年5月8日、被害組織の資料