ゆめさくセキュリティ

2017年7月29日に発覚、海外、信用情報機関 (消費者信用調査)

Equifax の個人情報流出

修正の警告が届かず古いポータルが穴のまま残り、監視も証明書切れで止まっていた

何があったか

2017年3月7日、Webアプリケーションの仕組みApache Strutsに重大な脆弱性が公表され、修正版も出た。翌日には米国土安全保障省のUS-CERTがEquifaxに警告を送り、9日には同社の脆弱性管理チームが400人超に、48時間以内に修正するよう求めるメールを回した。しかし、消費者が信用情報の誤りを申し立てるインターネット向けのポータルACISは、1970年代に作られた古い仕組みの上で、修正されないまま動き続けた。15日のスキャンでも、外向きの仕組みに脆弱性は見つからなかった。

2017年5月13日、攻撃者はACISの脆弱性から入り、Webシェルを置いて遠くから操れるようにした。暗号化されていない認証情報の入ったファイルを見つけ、ACISと関係のない48のデータベースに届いた。約9,000件の問い合わせを流し、個人情報を少しずつ外へ持ち出した。ACISの通信を監視する装置は証明書が切れていて、暗号化された通信を検査できていなかった。

7月29日、Equifaxが期限切れの証明書を更新すると、すぐに不審な通信が見えた。30日にACISを止め、8月2日にMandiantに調査を頼み、FBIにも知らせた。9月7日に約1億4,300万人に影響すると公表したが、専用のWebサイトとコールセンターはすぐにあふれ、消費者は自分が対象かどうかをすぐ確かめられなかった。被害の数はその後10月2日に1億4,550万人に改められ、2018年3月1日には約240万人の追加を公表した。2019年7月、FTCなどとの和解で少なくとも5億7,500万ドルを払うことになった。

入口
2017年3月に公表されたApache Strutsの脆弱性が、消費者の苦情を受け付けるインターネット向けのポータルACISで修正されないまま残り、5月13日にそこを突かれた
決め手の失敗
修正を求める社内の通知が担当者に届かず、スキャンでもACISの脆弱性を見つけられなかった。ACISの通信を監視する装置の証明書が切れていて暗号化された通信が検査されず、データベースが分けられていなかったうえ、暗号化されていない認証情報で48のデータベースに届いた
被害
GAOによると米国の少なくとも1億4,550万人と米国外の100万人近くの個人情報が侵害され、さらに約240万人の氏名と運転免許証の一部の情報が見つかった。FTCなどとの和解で、少なくとも5億7,500万ドル、最大7億ドルを払うことになった

攻撃の流れ

  1. 入口ACISで動いていたApache Strutsの既知の脆弱性を突かれ、Webシェルを置かれて遠くから操られた。3月10日にも正体不明の者がこの脆弱性を探って入り込んでいたが、そのときはデータは持ち出されていない
  2. 偵察ACISの中から他の仕組みに問い合わせを送り、個人情報の置き場と、暗号化されていない利用者名とパスワードの入ったファイルを見つけた
  3. 広がり見つけた認証情報を使い、ACISの3つのデータベースを越えて、関係のない48のデータベースに届いた。データベースどうしが分けられておらず、問い合わせの回数にも制限がなかった
  4. 持ち出し約9,000件の問い合わせで個人情報を探し、ふだんの暗号化された通信に紛れて少しずつ外へ送った。監視装置の証明書が切れていたため、通信は検査されなかった
  5. 影響侵入は76日続き、氏名、社会保障番号、生年月日、住所、運転免許証の番号、クレジットカードの番号、申し立ての書類が盗まれた

数字で見る

  • 少なくとも1億4,550万人 個人情報を盗まれた米国の消費者 (GAO)[2] 米国外の100万人近くは別。資料によって数が違い、下院報告書は1億4,800万人、FTCは約1億4,700万人としている
  • 100万人近く 個人情報を盗まれた米国外の消費者 (GAO)[2]
  • 約240万人 2018年3月に追加で特定した人数[2] 氏名と運転免許証の一部の情報。一部は1億4,550万人と重なり、2018年8月の時点で重なりの数は確定していない
  • 1億4,800万人 被害の総数 (下院報告書)[1] 米国の人口の半分近く、成人の56%
  • 約1億4,700万人 被害の総数 (FTC)[3]
  • 76日 侵入が続いた日数[1] 2017年5月13日から7月30日
  • 145日 既知の脆弱性にさらされていた日数[1]
  • 約9,000件 攻撃者の問い合わせの数[1]
  • 48 盗んだ認証情報で届いたデータベース[1]
  • 19か月 監視装置の証明書が切れていた期間[1] 下院報告書は2016年1月31日に切れたとする。GAOは侵入の約10か月前に切れたとしており、下院報告書はこの食い違いを脚注に書いている
  • 少なくとも5億7,500万ドル (最大7億ドル) FTC、CFPB、州との和解の額[3]

気づいたきっかけ

2017年7月29日、ACISの通信を監視する装置の切れていた証明書を更新すると、すぐに不審な通信が見つかった。GAOによると、IT機器の動作と設定をいつもどおり点検していたネットワークの管理者が気づいた

対応と復旧

7月29日に不審な通信を止め、30日にACISを止めた。8月2日に法律事務所とMandiantに調査を頼み、FBIにも知らせた。9月7日に公表し、影響を確かめるWebサイトと、1,500人の臨時の人員によるコールセンターを用意したが、どちらもすぐにあふれた。その後、脆弱性を見つけて直したことを確かめる管理の手順、通信の継続的な監視、内部のサーバーの間の通信の制限、アクセスの管理の強化に取り組んだと説明している

組織が認めた原因と、決めた対策

認めた原因

  • Equifaxの説明 (GAO) 米国土安全保障省からの通知を回した宛先の一覧が古く、修正の担当者に届かなかった。脆弱性の公表から1週間後のスキャンでも、申し立てのポータルの脆弱性を見つけられなかった
  • Equifaxの説明 (GAO) 証明書が切れていたため、通信を検査する装置が悪意のある通信を見つけられなかった
  • Equifaxの説明 (GAO) データベースが分けられておらず、ポータルと関係のないデータベースにも届いた
  • Equifaxの説明 (GAO) 暗号化されていない認証情報の入ったデータベースに入られ、他のデータベースへの問い合わせを許した。データベースへの問い合わせの回数に制限がなかった
  • 下院監視・政府改革委員会の認定 IT管理の責任と権限の線があいまいで、方針と運用の間に隔たりがあった。300を超える証明書を切らしていた
  • 下院監視・政府改革委員会の認定 急な成長で複雑になった古い自社製の仕組みの上で、重要なアプリケーションを動かしていた
  • FTCの申し立て 脆弱性を確実に修正させる方針がなく、修正の指示が実行されたかを確かめなかった

公表した再発防止策

  • 脆弱性を見つけて修正し、修正されたことを確かめる新しい管理の手順を入れる
  • データとアプリケーションを守る方針を作り、通信を継続して監視する道具を入れる
  • ネットワークの外との境の通信の監視を足し、内部のサーバーの間の通信を制限する
  • 新しいセキュリティの管理の枠組みと、仕組みやアプリケーションへのアクセスの厳しい管理を入れる
  • FTCとの和解により、修正の管理を含む包括的な情報セキュリティの計画を作り、毎年リスクを評価する

自分のサービスで確かめること

  • 外から届く仕組みで使っているライブラリと版を一覧にし、重大な脆弱性の通知が持ち主に届く宛先になっているか確かめる
  • 修正を指示したあと、実際に直ったかをスキャンや版の確認で確かめる手順があるか確かめる
  • 通信を検査する装置や監視の道具の証明書の期限を一覧にし、切れたときに警報が出るか確かめる
  • インターネット向けの仕組みから、関係のないデータベースに届かないようになっているか確かめる
  • 設定ファイルや共有の置き場に、平文のパスワードが残っていないか確かめる

関わる攻撃とレッスン

学べるレッスン

  • 3-2 再現と影響の示し方 (準備中)
  • 4-2 検知の決まりの設計 (準備中)
  • 3-4 横への広がりと認証情報 (準備中)
  • 4-1 記録の設計 (準備中)

時系列

  1. 2017年
  2. 3月7日 公表 Apache Strutsの脆弱性 (CVE-2017-5638) が公表され、修正版が出た[1]
  3. 3月8日 対応 US-CERTがEquifaxに、この脆弱性を修正するよう警告を送った[1]
  4. 3月9日 対応 脆弱性管理チームが400人超に、48時間以内に修正するよう求めるメールを回した[1]
  5. 3月10日 侵入 正体不明の者が脆弱性を探して申し立てのポータルに入り、コマンドを動かせることを確かめた。このときデータは持ち出されていない[2]
  6. 3月15日 対応 脆弱性を探すスキャンをしたが、外向きの仕組みでは見つからなかった[1]
  7. 5月13日 侵入 攻撃者がACISの脆弱性から入り、Webシェルを置いた[1]
  8. 7月29日 発覚 監視装置の切れていた証明書を更新し、不審な通信を見つけて止めた[1]
  9. 7月30日 対応 さらに不審な動きが見えたため、ACISを止めた[1]
  10. 8月2日 対応 Mandiantに調査を頼み、FBIに知らせた[1]
  11. 9月7日 公表 約1億4,300万人に影響すると公表した[1]
  12. 10月2日 公表 影響した人数を1億4,550万人に改めた[2]
  13. 2018年
  14. 3月1日 公表 氏名と運転免許証の一部の情報を盗まれた約240万人の追加を公表した[2]
  15. 12月 公表 下院監視・政府改革委員会が報告書を出し、防げた侵害だったと結論した[1]
  16. 2019年
  17. 7月22日 処分 FTC、CFPB、50の州と準州との和解を発表した。少なくとも5億7,500万ドル、最大7億ドルを払う[3]
  18. 2020年
  19. 2月10日 公表 米司法省が、中国人民解放軍第54研究所の4人の起訴を発表した[4]

攻撃した側について

公的機関が名指しした攻撃者 中国人民解放軍第54研究所の4人 (Wu Zhiyong、Wang Qian、Xu Ke、Liu Lei)

米司法省が2020年2月10日、アトランタの連邦大陪審の起訴として、中国人民解放軍第54研究所の4人を名指しした。起訴の中身は容疑であり、被告は有罪が証明されるまで無罪と推定されると司法省自身が書いている。Equifaxは捜査に全面的に協力したとされる。下院報告書とGAOの報告書は攻撃者を名指ししていない

出典

2026年10月24日に開いて確かめました。本文の [1] などの数は、この一覧の番号です。

  1. The Equifax Data Breach (Majority Staff Report) 米下院監視・政府改革委員会、2018年12月、議会の資料
  2. GAO-18-559 Data Protection, Actions Taken by Equifax and Federal Agencies in Response to the 2017 Breach 米会計検査院 (GAO)、2018年8月、公的機関の資料
  3. Equifax to Pay $575 Million as Part of Settlement with FTC, CFPB, and States Related to 2017 Data Breach 米連邦取引委員会 (FTC)、2019年7月22日、公的機関の資料
  4. Chinese Military Personnel Charged with Computer Fraud, Economic Espionage and Wire Fraud for Hacking into Credit Reporting Agency Equifax 米司法省、2020年2月10日、公的機関の資料