ゆめさくセキュリティ

2018年9月8日に発覚、海外、宿泊(ホテルチェーン)

マリオット(スターウッド)予約データベース侵害

買収したStarwoodのネットワーク侵入を4年間検知できなかった

何があったか

2014年、Starwood Hotels & Resorts Worldwide IncのITシステムの装置にウェブシェルが設置され侵入された。侵入経路は分かっていない。侵入者はRAT(遠隔操作型マルウェア)とMimikatzで認証情報を集め、予約データベースの複数のテーブルをdmpファイルに書き出した。2016年にMarriottがStarwoodを買収したが、侵入は見つからないまま引き継がれた。

2018年5月のGDPR施行後も気づかれず、同年9月7日に「Guest_Master_profile」テーブルへの件数照会がIBM Guardiumの警報を引き起こした。9月8日、Starwoodの予約基盤を管理するAccentureからMarriottのIT部門に連絡があり、調査を始めた。9月12日に7万台の端末へ監視ツールを配備し、9月15〜16日には7月分の委託先従業員の認証情報が不正利用された形跡を確認、9月17日にRATを特定して指令サーバとの通信を遮断した。10月には過去のMimikatzの使用や、2016年末に別途仕込まれたカード情報収集用マルウェアの痕跡も見つかり、10月29日にFBIへ連絡した。

11月13日に見つけた暗号化済みの削除ファイルを11月19日に復号し、宿泊客のプロフィールとパスポート番号のテーブルが盗まれていたと判明した。11月22日に英国の情報コミッショナー事務局(ICO)へ通知し、11月30日に公表して専用サイトと問い合わせ窓口を設け、メール通知を始めた。Marriottの見積りでは約3億3900万件の宿泊客記録が影響を受け、うちEEA分は約3010万件、英国分は約700万件だった。

入口
2014年、StarwoodのIT システムの装置にウェブシェルが設置されて侵入されたが、その経路は特定されていない。侵入者はこれを足場にRAT(遠隔操作型マルウェア)で管理者権限を奪い、ネットワーク内を動き回った。
決め手の失敗
侵入後の特権アカウントとデータベースの監視が不十分で、攻撃者が4年以上気づかれずに活動を続けられた。監視ソフトIBM Guardiumの警報は決済カード情報を含むテーブルだけに限られており、サーバをホワイトリストなどで堅牢化する対策も取られていなかった。パスポート番号の一部は暗号化されていなかった。
被害
Marriottの見積りでは約3億3900万件の宿泊客記録が影響を受け、うちEEA分は約3010万件、英国分は約700万件だった。暗号化されていない宿泊客のプロフィールとパスポート番号、一部暗号化された状態のパスポート番号と決済カード情報が盗まれた。

攻撃の流れ

  1. 入口2014年、Starwoodのネットワーク内の装置にウェブシェルが設置された。侵入の経路は特定されていない。これを足場にRAT(遠隔操作型マルウェア)を仕込まれ、管理者権限での遠隔操作が可能になった
  2. 偵察Mimikatzでシステムメモリ上の認証情報を集め、単要素認証と多要素認証が混在する複数のアカウントを乗っ取って、予約データベースへの照会を繰り返した
  3. 持ち出し2015年から2016年にかけて複数回、予約関連のテーブル全体をdmpファイルに書き出した。2016年末から2017年初めには、EU域外の拠点を狙ってカード情報を集めるメモリスキャン型マルウェアも別途設置されたが、カード情報の収集には成功しなかった
  4. 発覚2018年9月7日、Guest_Master_profileテーブルへの件数照会がIBM Guardiumの警報を引き起こした。これが買収後にMarriottへ届いた最初の関連警報だった
  5. 影響調査の結果、2014年からの侵入の全容と、宿泊客のプロフィール・パスポート番号・一部の決済カード情報が盗まれていたことが判明した

数字で見る

  • 約3億3900万件 影響を受けた宿泊客の記録(Marriottの見積り)[1]
  • 約3010万件 うちEEA域内の記録[1]
  • 約700万件 うち英国の記録[1]
  • 約525万件 暗号化されていなかったパスポート番号[1] うちEEA加盟国分の記録に紐づくものが約93万5000件
  • 約1850万件 暗号化されていたパスポート番号[1] うちEEA加盟国分の記録に紐づくものが約429万件
  • 約910万件 暗号化されていた決済カード情報[1] うちEEA加盟国分の記録に紐づくものが約87万3000件
  • 9920万396ポンド ICOが当初予告した制裁金(Notice of Intent)[1] 2019年7月5日の通知
  • 1840万ポンド ICOが最終的に科した制裁金[1] 2020年10月30日の処分通知。段階的な減額を経た額
  • 5万7000件 専用の問い合わせ窓口への通話件数[1] 2018年11月30日から2019年5月31日まで。うちEU域内向けの窓口への通話が7500件

気づいたきっかけ

2018年9月7日、決済カード情報を含むテーブルへの件数照会がIBM Guardiumの警報を引き起こした。翌8日、Starwoodの予約基盤を管理するAccentureからMarriottのIT部門に連絡があり、これが買収後にMarriottが受け取った最初の関連警報だった。侵入は2014年から4年以上気づかれていなかった

対応と復旧

9月9〜10日にインシデント対応計画を発動し、9月12日には7万台のStarwoodのレガシー端末にリアルタイム監視とフォレンジックのツールを配備した。9月17日にRATを特定して指令サーバとの通信を遮断し、パスワードのリセットと侵害が確認されたアカウントの無効化を行った。10月29日に米連邦捜査局(FBI)へ連絡し、11月19日に暗号化されたファイルを復号して被害の全容を把握した。11月22日にICOへ通知し、11月30日に公表して専用サイトと問い合わせ窓口、無料のWebWatcher登録を用意した。侵害されたStarwoodのシステムの廃止も前倒しし、12月11日に完了した

組織が認めた原因と、決めた対策

認めた原因

  • ICOは、侵入後の特権アカウントとデータベースに対する監視が不十分で、侵入を検知し広がりを止める仕組みが機能していなかったと認定した
  • ICOは、監視ソフトIBM Guardiumの警報が決済カード情報を含むテーブルだけに限られ、他の個人情報を含むテーブルには監視の仕組みがなかったと認定した
  • ICOは、ホワイトリストなどによるサーバの堅牢化や、侵入者が管理者アカウントを奪って内部を移動することを防ぐ対策が講じられていなかったと認定した
  • ICOは、パスポート番号の一部が暗号化されておらず、暗号化の適用が一貫していなかったと認定した
  • Marriottはこれらの認定に対し、GDPR違反の責任を認めていない

公表した再発防止策

  • 特権アカウントとデータベースへのアクセスをリアルタイムで監視するツールを7万台の端末に導入した
  • パスワードのリセットと、侵害が確認されたアカウントの無効化を行った
  • 検知のための技術的な対策を強化した
  • 侵害されたStarwoodのシステムの統合・廃止を前倒しして進めた
  • 2019年のセキュリティ予算を約4950万ドルに、2020年の見込みを約1億850万ドルに引き上げた

自分のサービスで確かめること

  • 特権アカウントの操作がログに記録され、定期的に見直されているか確かめる
  • 警報の対象が決済カード情報など一部のテーブルに偏っておらず、他の個人情報を含むテーブルも監視対象になっているか確かめる
  • 買収や統合で引き継いだシステムの構成とログの設定を棚卸しし、自社の基準まで引き上げているか確かめる
  • 暗号化の対象が一部の項目に偏らず、機微情報全体に一貫して適用されているか確かめる
  • 大量のデータをまとめてエクスポートするような操作を検知できるログとアラートがあるか確かめる

関わる攻撃とレッスン

攻撃の種類

学べるレッスン

  • 4-2 検知の決まりの設計 (準備中)
  • 4-1 記録の設計 (準備中)
  • 3-4 横への広がりと認証情報 (準備中)
  • 3-3 権限昇格 (準備中)
  • 1-2 暗号とその失敗 (準備中)

時系列

  1. 2018年
  2. 9月7日 侵入 Guest_Master_profileテーブルへの件数照会がIBM Guardiumの警報を引き起こした[1]
  3. 9月8日 発覚 Starwoodの予約基盤を管理するAccentureから警報についてMarriottのIT部門に連絡があり、調査を始めた[1]
  4. 9月12日 対応 7万台のStarwoodのレガシー端末にリアルタイム監視とフォレンジックのツールを配備した[1]
  5. 9月17日 対応 RAT(遠隔操作型マルウェア)の存在を特定し、指令サーバとの通信を遮断した[1]
  6. 10月29日 対応 米連邦捜査局(FBI)に連絡した[1]
  7. 11月19日 発覚 暗号化された削除済みファイルを復号し、宿泊客のプロフィールとパスポート番号のテーブルが盗まれていたと判明した[1]
  8. 11月22日 公表 英国の情報コミッショナー事務局(ICO)に個人データ侵害を通知した[1]
  9. 11月30日 公表 侵害を公表し、専用サイトと問い合わせ窓口を設け、対象者へのメール通知を始めた[2]
  10. 12月11日 対応 侵害されたStarwoodのシステムの廃止を完了した[1]
  11. 2019年
  12. 7月5日 処分 ICOが制裁金9920万396ポンドの賦課を予告する通知(Notice of Intent)を出した[1]
  13. 2020年
  14. 10月30日 処分 ICOが最終的な制裁金1840万ポンドを科す処分通知(Penalty Notice)を出した[1]

攻撃した側について

ICOの処分通知もMarriottの公表も、侵入者を「the Attacker」として扱うのみで、公的機関による攻撃者の名指しはない

出典

2026年10月24日に開いて確かめました。本文の [1] などの数は、この一覧の番号です。

  1. Marriott International Inc, Penalty Notice Information Commissioner's Office (ICO)、2020年10月30日、公的機関の資料
  2. Marriott Announces Starwood Guest Reservation Database Security Incident Marriott International, Inc. (SEC EDGAR Form 8-K Exhibit 99)、2018年11月30日、被害組織の資料