ゆめさくセキュリティ

2023年7月4日に発覚、日本、港湾・物流

名古屋港統一ターミナルシステム (NUTS) ランサムウェア被害

保守用VPNにIP制限がなく脆弱性も未対応で、港の全ターミナルが止まった

何があったか

2023年7月4日午前6時30分ごろ、名古屋港の全てのコンテナターミナルが使う名古屋港統一ターミナルシステム (NUTS) が作動を停止した。7時30分ごろにはシステム専用のプリンターからランサムウェアの脅迫文書が印刷され、名古屋港運協会は愛知県警察本部サイバー攻撃対策隊に通報した。14時ごろには物理サーバ基盤と全ての仮想サーバーが暗号化されていることが判明し、名古屋港の全コンテナターミナルで作業が止まった。

7月5日12時ごろ、名古屋港運協会はランサムウェア感染をプレス発表した。復旧作業ではバックアップデータの中からもウイルスが見つかり、駆除に時間がかかって復旧は7月6日にずれ込んだ。7月6日18時15分、全ターミナルで作業を再開した。

国土交通省の検討委員会がまとめた中間報告によると、8台ある物理サーバが全て暗号化されていたことから、アプリケーション経由ではなくサーバへの直接的な攻撃が行われた可能性が高く、保守用VPN機器からの侵入とみるのが適切とされた。NUTSの保守用VPNはIPアドレスに制限をかけておらず、IDとパスワードさえ合えばインターネット上の誰からでも接続できる状態で、VPN機器と物理サーバの脆弱性は数か月前から公表されていたのに未対応だった。荷役スケジュールに影響した船舶は37隻、搬入・搬出に影響したコンテナは約2万本 (推計) にのぼった。

入口
保守用VPN機器からの侵入が有力とされた (感染経路は断定されていない)
決め手の失敗
保守用VPNにIPアドレス制限がなく、IDとパスワードが合えば誰でも接続できた。VPN機器と物理サーバの公表済み脆弱性が未対応だった。バックアップは直近3日分のみで、その中からもウイルスが見つかった
被害
名古屋港の全コンテナターミナルで作業が停止し、約3日間コンテナの搬入と搬出が止まった。荷役スケジュールに影響した船舶37隻、搬入と搬出に影響したコンテナ約2万本 (推計)。データセンター内のNUTSの全サーバーが暗号化された

攻撃の流れ

  1. 入口NUTSの保守用VPNはIPアドレスに制限をかけておらず、IDとパスワードさえ合致すればインターネット上から誰でもアクセス可能な状態だった。VPN機器と物理サーバの脆弱性は数か月前から公表されていたが未対応だった
  2. 侵入8台ある物理サーバが全て暗号化されシステムが起動しなくなっていたことから、アプリケーション経由ではなくサーバ部への直接的な攻撃が行われた可能性が高く、保守用VPN機器からの侵入が行われたものと見ることが適切とされた
  3. 暗号化データセンター内にあるNUTSの全サーバーが暗号化され、システム専用のプリンターから脅迫文書が印刷された
  4. 復旧の妨げバックアップデータの中からもトロイの木馬など複数のウイルスが検知され、駆除を終えるまでシステムの復旧が遅れた。バックアップは直近3日分のみで、原因調査とシステム復旧の両面で不足していた
  5. 影響名古屋港の全コンテナターミナルで作業が停止し、荷役スケジュールに影響した船舶37隻、搬入・搬出に影響したコンテナ約2万本 (推計) に及んだ

数字で見る

  • 約3日間 作業停止期間[3]
  • 37隻 荷役スケジュールに影響した船舶[3] NUTS停止によりマニュアル作業で荷役を行ったが最大24時間程度の遅延が発生した
  • 約2万本 搬入・搬出に影響したコンテナ[3] 推計
  • トロイの木馬120個、マルウェア4個、その他8件 検知したウイルス[3]
  • 直近3日分のみ バックアップの保持期間[3]

気づいたきっかけ

2023年7月4日午前6時30分ごろ、NUTSが作動を停止したことを確認した。7時30分ごろにはシステム専用のプリンターからランサムウェアの脅迫文書が印刷され、14時ごろには物理サーバ基盤と全仮想サーバーが暗号化されていることが判明した

対応と復旧

直ちにシステム保守会社とシステム開発会社に復旧作業を依頼し、愛知県警察本部サイバー攻撃対策隊に通報した。バックアップデータからウイルスが検知されたため駆除を行い、7月6日にバックアップデータの復元とネットワークの整合性確認を終えて、準備が整ったターミナルから順次作業を再開した

組織が認めた原因と、決めた対策

認めた原因

  • 8台ある物理サーバが全て暗号化されシステムが起動しなくなっていたことから、アプリケーション経由ではなく、サーバ部への直接的な攻撃が行われた可能性が高く、保守用VPN機器からの侵入が行われたものと見ることが適切である
  • NUTSの保守用VPNには緊急時に即時に対応するためIPアドレスに制限をかけておらず、IDとパスワードさえ合致すればインターネット上で誰からでもアクセス可能な状態にあった
  • VPN機器及び物理サーバに関して数か月前から脆弱性が公表されていたものの、これらへの対応が未対応だった

公表した再発防止策

  • VPNルータなど保守用の外部接続に、IPアドレスによる接続元制限と複数の要素を組み合わせた認証を導入する
  • VPN機器やサーバの脆弱性情報を定期的に収集し、速やかにパッチを適用する
  • VPN機器のアクセスログを取得し、現用システムとは切り離した場所にバックアップを保存する
  • システムプログラムなど更新頻度の低いデータは直近3日分にとどまらない長期間のバックアップを取り、開発環境・評価環境も対象に含める
  • サイバー攻撃を想定したシステム障害時のBCPと対応手順を事前に整備する

自分のサービスで確かめること

  • 保守用など外部接続にIPアドレス制限と複数要素の認証をかけているか確認する
  • VPN機器やサーバの脆弱性情報を定期的に収集し、速やかにパッチを当てているか確認する
  • VPN機器のアクセスログを現用システムと別の場所にバックアップしているか確認する
  • バックアップが直近数日分にとどまらず、クリーンな状態の長期保存分を持っているか確認する
  • サイバー攻撃を想定したBCPと障害対応手順を事前に整備し訓練しているか確認する

関わる攻撃とレッスン

攻撃の種類

学べるレッスン

時系列

  1. 2023年
  2. 7月4日 発覚 午前6時30分ごろNUTSの作動が停止し、7時30分ごろ専用プリンターから脅迫文書が印刷された。9時ごろ愛知県警察本部サイバー攻撃対策隊へ通報し、14時ごろ物理サーバ基盤と全仮想サーバーの暗号化が判明した[2]
  3. 7月5日 公表 12時ごろ、名古屋港運協会がランサムウェア感染をプレス発表した[1]
  4. 7月6日 復旧 18時15分、全てのコンテナターミナルで作業を再開した[2]
  5. 7月26日 公表 経緯報告を公表し、リモート接続機器の脆弱性からの不正アクセスと考えられるとした[2]
  6. 11月30日 公表 国土交通省の検討委員会が中間取りまとめ②を公表し、保守用VPNのIP制限の欠如や脆弱性未対応などの問題点を示した[3]
  7. 2026年
  8. 5月 公表 国土交通省港湾局が事案事例集を公表し、ロシア系ハッカー集団LockBitによる攻撃とされると記載した[5]

攻撃した側について

公的機関が名指しした攻撃者 lockbit

名古屋港運協会は攻撃者名を公表しておらず、脅迫文に身代金額の記載はなく攻撃者へ連絡もしていないとした。国土交通省港湾局が2026年に公表した事案事例集は、既往文献の再整理として「ロシア系ハッカー集団「LockBit」による攻撃とされ」と記載している

出典

2026年10月24日に開いて確かめました。本文の [1] などの数は、この一覧の番号です。

  1. 名古屋港統一ターミナルシステムのシステム障害について 名古屋港運協会、2023年7月5日、被害組織の資料
  2. NUTSシステム障害の経緯報告 名古屋港運協会、2023年7月26日、被害組織の資料
  3. コンテナターミナルにおける情報セキュリティ対策等検討委員会 中間取りまとめ② 国土交通省、2023年11月30日、調査委員会の資料
  4. コンテナターミナルにおける情報セキュリティ対策等検討委員会について 国土交通省、2023年11月30日、公的機関の資料
  5. 港湾分野における情報セキュリティ確保に係る安全ガイドライン (第3版) 事案事例集 国土交通省港湾局、2026年5月13日、公的機関の資料