ゆめさくセキュリティ

2021年5月6日に発覚、日本、ITサービス・システムインテグレーション

富士通 ProjectWEB 不正アクセス

情報共有ツールの脆弱性と認証情報窃取で侵入、142の顧客と官公庁に波及

何があったか

2021年5月6日、富士通はプロジェクト運営のために社内外の関係者と情報を共有する「ProjectWEB」を利用する一部プロジェクトで不正アクセスの可能性を認知し、調査を始めた。調査の結果、第三者がProjectWEBに存在した複数の脆弱性のいずれかを悪用して正規の利用者のIDとパスワードを窃取し、正常な認証・通信に見える形で外部からログインしていたことが分かった。5月25日、富士通はこれを公表し、更なる被害を防ぐためProjectWEBの運用を止めた。

翌26日には国土交通省が、委託先の富士通からシステム関係情報の流出の報告を受けたと公表し、職員や省外関係者のメールアドレスなど約7.6万件が含まれていたことを明らかにした。富士通の調査はその後も続き、8月には129、2022年3月には142の顧客企業・団体でシステム構成情報やプロジェクト資料、顧客・関係者の氏名やメールアドレスなどの個人情報が不正に閲覧またはダウンロードされたことを確認した。

富士通は外部有識者による検証委員会を設置し、2021年10月に専任のCISOを任命、12月にはProjectWEBの利用終了と多要素認証を備えた新ツールへの移行を決めた。2022年4月、検証委員会の報告書に基づく原因分析と再発防止策を公表した。

入口
第三者がProjectWEBに存在した複数の脆弱性のいずれかを悪用して正規の利用者のIDとパスワードを窃取し、正常な認証・正常な通信に見える形で外部からツールへログインした
決め手の失敗
ProjectWEBには多要素認証が導入されておらず、不正アクセスを早期に検知する仕組みも十分でなかった。各テナントの管理の多くがテナント管理者に委ねられ、情報保護の体制や人員・予算も不十分だった
被害
最終的に142の顧客企業・団体でProjectWEBに保存されていた情報の一部が不正に閲覧・ダウンロードされたことを確認した。流出した情報には顧客のシステム構成情報やプロジェクト資料のほか、顧客・関係者の氏名やメールアドレス等の個人情報が含まれ、国土交通省など複数の省庁でも職員や関係者のメールアドレス等が流出した

攻撃の流れ

  1. 入口第三者がProjectWEBに存在した複数の脆弱性のいずれかを悪用して正規の利用者のIDとパスワードを窃取し、正常な認証・正常な通信に見える形で外部からツールへログインした
  2. 滞留ProjectWEBはテナントごとの管理に委ねられ、情報保護の体制や人員・予算が不十分で、不正アクセスを直ちに検知する体制も整っていなかったため、侵入は長期間気づかれなかった
  3. 発覚後の調査の遅れ発覚当初は個別プロジェクトのインシデントという前提で対応し、属人的な運用とログ管理の不備でProjectWEB全体の構造の把握に時間を要したため、被害組織数の確定(129から142への修正)を含め被害範囲の調査が長期化した
  4. 影響の拡大142の顧客企業・団体のほか、国土交通省をはじめとする複数の省庁でもシステム関連情報や職員・関係者の個人情報が流出した

数字で見る

  • 142 被害のあった顧客企業・団体の数 (最終、2022年3月時点)[5]
  • 129 被害のあった顧客企業・団体の数 (2021年8月公表時点)[2] のちに142へ修正された
  • 少なくとも約7.6万件 国土交通省関係で流出したメールアドレス[7]
  • 19日 不正アクセスの可能性を認知してから第一報の公表・運用停止まで[2] 5月6日から5月25日まで。資料の日付から数えた
  • 10%・1か月 代表取締役社長・副社長の月額報酬自主返上[6]

気づいたきっかけ

2021年5月6日、ProjectWEBを利用する一部プロジェクトで不正アクセスの可能性を認知し、調査を始めた

対応と復旧

社長直轄の全社体制を構築してProjectWEBの運用を停止し、影響範囲と原因の調査を進めた。外部有識者による検証委員会を設置し、2021年10月1日付で専任のCISOとCISO補佐を任命して新たな情報セキュリティ体制を構築した。2021年12月にProjectWEBの利用終了を決め、多要素認証とログの一元管理を備えた新ツールへ移行した。2022年4月、検証委員会の報告書に基づく原因分析と再発防止策を公表し、代表取締役社長と副社長が月額報酬の一部を自主返上した

組織が認めた原因と、決めた対策

認めた原因

  • 情報保護の体制が不十分だった
  • ProjectWEBに対する人員・予算の制約等からセキュリティの強化・管理に手が回らなかった
  • 不正アクセスを直ちに検知する体制が整っていなかった
  • 各テナントの管理に係る事項の多くがテナント管理者に委ねられていた
  • 発覚後、個別プロジェクトのインシデントとの前提で対応したことや、属人的運用・ログ管理の不適切さにより、ProjectWEB全体の構造の把握に時間を要した

公表した再発防止策

  • セキュリティ対策強化と管理・監督の徹底 (多要素認証の実装、CISO直轄組織による監査・監視)
  • セキュリティインシデント対応の強化 (CISO主導の対応プロセス整備、平時からの訓練)
  • 社内ITシステムの一元管理と各プロジェクト部門の自律的な是正促進
  • 全社のセキュリティ意識徹底とリテラシー向上に向けた教育・制度の見直し
  • 対外コミュニケーションの改善 (公表方針の策定、平時からの訓練によるプロセス成熟化)

自分のサービスで確かめること

  • 社外に公開している情報共有ツールや開発基盤に多要素認証の例外が残っていないか確かめる
  • 各システムやテナントの管理をプロジェクト部門任せにせず、全社で資産と権限を一元的に把握しているか確かめる
  • 不正アクセスを早期に検知する監視体制とログの一元的な収集・保管ができているか確かめる
  • インシデント発生時に個別の事案と決めつけず、同じ基盤を使う他の顧客や部門への影響を早期に確認する手順があるか確かめる

関わる攻撃とレッスン

攻撃の種類

学べるレッスン

時系列

  1. 2021年
  2. 5月6日 発覚 ProjectWEBを利用する一部プロジェクトで不正アクセスの可能性を認知し、調査を始めた[2]
  3. 5月25日 公表 ProjectWEBへの不正アクセスを公表し、運用を停止した (第一報)[1]
  4. 5月26日 公表 国土交通省が、委託先の富士通からシステム関係情報の流出の報告を受けたと公表した[7]
  5. 8月11日 公表 129の顧客企業・団体で情報が不正に閲覧・ダウンロードされたことを公表した (第二報)[2]
  6. 9月24日 対応 専任のCISOとCISO補佐を任命する体制強化を公表した (第三報)[3]
  7. 12月9日 対応 ProjectWEBの利用終了と多要素認証を備えた新ツールへの移行を公表した (第四報)[4]
  8. 2022年
  9. 3月7日 公表 被害のあった顧客企業・団体の数が129から142に修正されたと公表した (第五報)[5]
  10. 4月22日 公表 検証委員会の調査・検証報告書に基づく原因分析と再発防止策を公表した (第六報)[6]

攻撃した側について

富士通は本事案について攻撃者の名前を公表していない。検証委員会の報告でも攻撃者の特定ではなく、社内の体制や管理の不備が指摘の中心になっている

出典

2026年10月24日に開いて確かめました。本文の [1] などの数は、この一覧の番号です。

  1. プロジェクト情報共有ツールへの不正アクセスについて 富士通株式会社、2021年5月25日、被害組織の資料
  2. プロジェクト情報共有ツールへの不正アクセスについて (第二報) 富士通株式会社、2021年8月11日、被害組織の資料
  3. プロジェクト情報共有ツールへの不正アクセスについて (第三報) 富士通株式会社、2021年9月24日、被害組織の資料
  4. プロジェクト情報共有ツールへの不正アクセスについて (第四報) 富士通株式会社、2021年12月9日、被害組織の資料
  5. プロジェクト情報共有ツールへの不正アクセスについて (第五報) 富士通株式会社、2022年3月7日、被害組織の資料
  6. プロジェクト情報共有ツールへの不正アクセスについて (第六報) 別紙 検証委員会からご指摘頂いた事項 検証委員会 (富士通株式会社が設置、公表)、2022年4月22日、調査委員会の資料
  7. 富士通株式会社が管理・運営するプロジェクト情報共有ツールへの不正アクセスによる国土交通省関係情報の流出について 国土交通省、2021年5月26日、公的機関の資料