ゆめさくセキュリティ

2020年1月20日に公表、日本、電機・総合電機メーカー

三菱電機 不正アクセス事案

ウイルス対策サーバーの未公開の脆弱性を突かれ、中国から国内へ侵入が広がり情報が流出した

何があったか

2019年3月18日、三菱電機の中国拠点のネットワークにあるウイルス対策管理サーバーが、外部から未公開の脆弱性を突いたゼロデイ攻撃を受けた。攻撃者はパターンファイルの更新機能を悪用し、同拠点の端末に侵入を広げた。感染した端末ではファイルレスマルウエアがPowerShellを使って遠隔操作され、中国拠点の他の端末にも感染が広がった。2019年4月3日には、攻撃者が中国拠点の端末を足がかりに、同じ手口で日本国内のウイルス対策管理サーバーを攻撃し、国内の複数拠点の端末やサーバーにも侵入を広げた。

2019年6月28日、国内拠点の端末でウイルス対策ソフトの挙動検知機能が不審な挙動を検知し、三菱電機は調査を始めた。監視や検知をすり抜ける高度な手法であったうえ、一部の端末では操作記録のログが攻撃者によって消去されており、全容の解明には時間がかかった。7月17日までに不正な通信先をすべて特定して遮断し、8月からはフォレンジック調査を進めた。

2020年1月20日、三菱電機は採用応募者や従業員、関係会社退職者など個人情報と企業機密が外部に流出した可能性があると公表した。さらに2月7日の調査で、防衛省が指定した「注意情報」も流出した可能性があることが判明し、防衛省へ報告したうえで2月10日に公表した。

入口
中国拠点のウイルス対策管理サーバーが、未公開の脆弱性を突いたゼロデイ攻撃を受け、パターンファイルの更新機能を悪用されて端末への侵入を許した
決め手の失敗
監視や検知をすり抜ける高度な手法で、一部端末の操作記録のログが攻撃者に消去されていたため解明が遅れた。防衛省が指定した「注意情報」の紙の保管ルールも守られていなかった
被害
採用応募者情報1,987人分、従業員情報4,566人分、関係会社退職者情報1,569人分の個人情報と、技術資料や営業資料などの企業機密が外部に流出した可能性があり、推定最大約200MBとされた。防衛省が指定した「注意情報」も流出した可能性が判明した

攻撃の流れ

  1. 入口2019年3月18日、中国拠点のウイルス対策管理サーバーが外部から未公開の脆弱性を突いたゼロデイ攻撃を受け、パターンファイルの更新機能を悪用されて同拠点の端末に侵入された
  2. 偵察感染した端末ではPowerShellを使うファイルレスマルウエアがメモリー内で動作し、外部からの遠隔操作を確立して中国拠点の他の端末にも感染が広がった
  3. 広がり2019年4月3日、攻撃者は中国拠点の端末を足がかりに同じ手口で日本国内のウイルス対策管理サーバーを攻撃し、ウイルス対策クライアントソフトが入った国内の複数拠点のサーバーや端末にも侵入を広げた
  4. 検知と調査2019年6月28日、国内端末のウイルス対策ソフトの挙動検知機能が不審な挙動を検知した。一部端末では操作記録のログが攻撃者によって消去されており、約24万5千台の端末とサーバーを対象に通信先の洗い出しとフォレンジック調査を進めた
  5. 影響個人情報と企業機密が外部に流出した可能性があることが判明し、2020年1月20日に公表した。その後の調査で防衛省が指定した「注意情報」も流出した可能性があることが分かった

数字で見る

  • 1,987人 採用応募者情報[1]
  • 4,566人 従業員情報[1]
  • 1,569人 関係会社退職者の情報[1]
  • 推定200MB 流出した可能性のある最大のデータ量[1]
  • 132台 感染の疑いのある端末[3] 国内外合計。うち個人情報や重要情報に関わる端末は国内9台
  • 約24.5万台 調査対象の端末とサーバー[3]
  • 半年以上 不審な挙動の検知から公表までの期間[3]

気づいたきっかけ

2019年6月28日、国内拠点の端末でウイルス対策ソフトの挙動検知機能が不審な挙動を検知した

対応と復旧

検知後、速やかに外部からのアクセスを制限し、関係機関へ報告した。2019年7月17日までに不正な通信先をすべて特定して遮断し、封じ込めを完了したと判断した。8月1日から保全が済んだ端末からフォレンジック調査を進め、通信とサーバーログの突合調査を11月15日まで続けた。8月29日には未公開脆弱性情報やマルウエア情報をJPCERT/CCへ報告した。2020年1月20日に個人情報が流出した可能性のある人への郵送でのお詫びと報告を始め、専用の問い合わせ窓口を設けた。2020年4月1日付で情報セキュリティー全般を担う社長直轄の統括組織を新設した

組織が認めた原因と、決めた対策

認めた原因

  • 当社が利用するウイルス対策システムのセキュリティーパッチ公開前の脆弱性を突いた第三者の不正アクセスが原因
  • 監視や検知をすり抜ける高度な手法であり、一部の端末で送信されたファイルを特定するためのログが攻撃者によって消去されていたため調査に時間を要した
  • 防衛省が指定した「注意情報」について、保全措置が徹底できていなかった
  • 端末の不審な挙動を認識してから公表に至るまで半年以上を要したことを反省している

公表した再発防止策

  • 未公開脆弱性対策として地域間・拠点間ネットワークのアクセス制限を強化し、全サーバーのネットワークレベルアクセス制御を厳格化する。標的型攻撃対策として挙動検知機能を全端末に配備する
  • グループ内感染防止として地域間・拠点間ネットワークをリアルタイムで監視し、端末もリアルタイム監視して感染端末を即時遮断する
  • 出口対策として不正アクセス先への通信遮断機能を強化する
  • 防御・監視機能をグローバルで一元管理し、インシデント対応体制(MELCO-CSIRT)の機能を強化する
  • 文書管理状況を再点検し、重要度に応じた保管場所や暗号化の運用を規則どおり徹底するとともに従業員教育を充実させる
  • 情報セキュリティー全般の企画・構築・運営を担う社長直轄の統括組織を2020年4月1日付で新設する

自分のサービスで確かめること

  • ウイルス対策ソフトなど管理用のサーバーが、拠点間のネットワークから広く到達できる状態になっていないか確かめる
  • 端末の挙動検知が警報を出したとき、他拠点への広がりをその日のうちに追えるログと監視の体制があるか確かめる
  • 操作ログが端末の中だけでなく、攻撃者に消されにくい外部の場所にも集められているか確かめる
  • 機密指定の紙の資料が、規定どおりの保管場所に置かれているか定期的に確かめる
  • 検知から関係機関への報告、対外公表までの時間を測り、基準となる日数を事前に決めているか確かめる

関わる攻撃とレッスン

学べるレッスン

  • 3-2 再現と影響の示し方 (準備中)
  • 3-4 横への広がりと認証情報 (準備中)
  • 4-2 検知の決まりの設計 (準備中)
  • 4-1 記録の設計 (準備中)

時系列

  1. 2019年
  2. 3月18日 侵入 中国拠点のウイルス対策管理サーバーが未公開の脆弱性を突いたゼロデイ攻撃を受け、同拠点の端末への侵入が始まった[3]
  3. 4月3日 侵入 中国拠点の端末を足がかりに同じ手口で日本国内のウイルス対策管理サーバーが攻撃され、国内複数拠点の端末やサーバーに侵入が広がった[3]
  4. 6月28日 発覚 国内拠点の端末でウイルス対策ソフトの挙動検知機能が不審な挙動を検知した[1]
  5. 7月17日 対応 不正な通信先をすべて特定して遮断し、封じ込みが完了したと判断した[3]
  6. 8月29日 対応 未公開脆弱性情報やマルウエア情報をJPCERT/CCへ報告した[3]
  7. 2020年
  8. 1月20日 公表 個人情報と企業機密が外部に流出した可能性があると公表した (第1報)[1]
  9. 2月7日 発覚 防衛省が指定した「注意情報」が流出した可能性のある情報に含まれることを発見し、防衛省に報告した[2]
  10. 2月10日 公表 防衛省の「注意情報」の流出可能性について公表した (第2報)[2]
  11. 2月12日 公表 攻撃手法と検証プロセス、再発防止策を公表した (第3報)[3]
  12. 4月 対応 情報セキュリティー全般を担う社長直轄の統括組織を新設した[3]

攻撃した側について

三菱電機は標的型のサイバー攻撃であると考えていると公表しているが、攻撃者の送信元アドレスが詐称されており攻撃者の特定は難航していると説明している。公的機関による攻撃者の名指しは確認できなかった

出典

2026年10月24日に開いて確かめました。本文の [1] などの数は、この一覧の番号です。

  1. 不正アクセスによる個人情報と企業機密の流出可能性について 三菱電機株式会社、2020年1月20日、被害組織の資料
  2. 不正アクセスによる個人情報と企業機密の流出可能性について（第2報） 三菱電機株式会社、2020年2月10日、被害組織の資料
  3. 不正アクセスによる個人情報と企業機密の流出可能性について（第3報） 三菱電機株式会社、2020年2月12日、被害組織の資料