ゆめさくセキュリティ

2023年6月15日に発覚、海外、クラウドメール・認証基盤

Storm-0558 による Microsoft Exchange Online 侵入

2016年発行の署名鍵が期限切れにならず残り、個人向けの鍵で企業のメールが読める不具合があった

何があったか

2023年5月、中国を拠点とする脅威アクターStorm-0558が、Microsoft Exchange Onlineの複数の組織のメールボックスに侵入した。米国務省は6月15日、自前の検知ルール「Big Yellow Taxi」が出した警報をきっかけに異常なアクセスに気づき、6月16日にMicrosoftへ連絡した。Microsoftの調査で、Storm-0558が正規の認証システムを経ずに作った偽のトークンでOutlook Web Accessにアクセスしていたことが分かり、6月26日にはそのトークンが2016年にMicrosoftが発行した消費者向け(MSA)の署名鍵で署名されていたことが判明した。この鍵は本来2021年3月に失効させる予定だったが、作業の難航で延期されたまま残っていた。

さらにExchange Online側には、本来企業向けのアカウントを検証できないはずの消費者向けの鍵でも、企業のメールボックスへのアクセスを認めてしまう不具合があった。Microsoftは6月24日に当該の鍵を無効化し侵入経路を遮断したが、侵害はすでに6週間ほど続いていた。影響は米国務省、商務省、米下院を含む22の組織と503の個人アカウントに及び、国務省からだけで約6万通のメールが持ち出された。被害者には対中政策を担う商務長官や駐中国大使なども含まれていた。

鍵がどのように盗まれたのかは本報告書の時点でも特定できていない。米国のサイバー安全審査委員会(CSRB)は、鍵の自動更新を後回しにしていたことや、盗まれた鍵を検知する仕組みが無かったこと、原因についての不正確な公表を半年以上訂正しなかったことから、Microsoftの企業としてのセキュリティ文化が不十分だったと結論づけた。

入口
2016年に発行された消費者向け(MSA)の署名鍵が、本来2021年3月に失効する予定だったが延期されたまま有効な状態で残っており、何らかの方法で盗まれた
決め手の失敗
消費者向けの署名鍵で、本来認証できないはずの企業向けExchange Onlineのアカウントまで認証できてしまう不具合があったこと、鍵の自動更新の仕組みが未整備で古い鍵が残り続けたこと、偽造されたトークンを検知する仕組みが無く、顧客からの通報で初めて気づいたことが重なった
被害
米国務省、商務省、米下院を含む22の企業・組織と503の個人アカウントが影響を受け、国務省だけで約6万通のメールが持ち出された。被害には対中政策を担当する商務長官や駐中国大使などの政府高官のメールボックスも含まれていた

攻撃の流れ

  1. 鍵の窃取2016年に発行された消費者向け(MSA)の署名鍵が、何らかの方法でStorm-0558に渡った。Microsoftは本報告書の時点でも入手経路を特定できていない
  2. トークンの偽造盗んだ署名鍵を使って、正規の認証システムを経ずに有効なアクセストークンを自ら作り出した
  3. 不正アクセスExchange Online側に、消費者向けの鍵でも企業向けアカウントを認証してしまう検証の不具合があり、偽造したトークンでOutlook Web Access経由の複数の組織のメールボックスに入った
  4. 持ち出し2023年5月から少なくとも6週間、22の組織と503の個人アカウントのメールを読み、国務省だけで約6万通のメールを持ち出した
  5. 発覚と遮断6月15日に国務省の検知ルールが異常を検知し、6月26日に偽造トークンと盗まれた鍵の関係が判明、6月24日には当該の鍵が無効化され侵入経路が閉じられた

数字で見る

  • 22組織 影響を受けた企業・組織[1]
  • 503件 影響を受けた個人アカウント[1]
  • 約6万通 国務省から持ち出されたメール[1]
  • 少なくとも6週間 アクセスが続いた期間[1]
  • 約9日 発覚から鍵の無効化まで[1] 6月15日の検知から6月24日の無効化までを資料の日付から数えた

気づいたきっかけ

米国務省のセキュリティ運用センターが、自前の検知ルール「Big Yellow Taxi」によるメールボックスアクセスログの監視で2023年6月15日に異常を検知し、翌日Microsoftへ連絡した

対応と復旧

Microsoftは6月24日に盗まれた署名鍵を無効化し、関連するキャッシュデータも一掃してトークンを使えなくした。その後Storm-0558はフィッシングで再侵入を試みたが、この経路は遮断された。被害組織・個人への通知を6月19日以降順次進めたが、通知の進み方には組織によってばらつきがあった

組織が認めた原因と、決めた対策

認めた原因

  • 2016年に発行した消費者向け(MSA)署名鍵の手動での更新を2021年に一度止めており、自動更新の仕組みへの移行も優先されず完了していなかった
  • Exchange Onlineの認証の検証ロジックに、消費者向けの鍵でも企業向けアカウントの認証を通してしまう欠陥があった
  • 偽造されたトークンを検知・警告する仕組みが無く、Microsoft自身ではなく顧客からの通報で侵入に気づいた
  • 2016年の鍵がどのように盗まれたかを、本報告書の時点でも特定できていない

公表した再発防止策

  • 鍵の定期的な自動更新を仕組み化する
  • 鍵を分離・隔離した鍵管理システム(ハードウェアセキュリティモジュール等)で保管する
  • ステート(状態)を持つトークン検証の仕組みを使う
  • 鍵の用途をあらかじめ個別の顧客などに限定する
  • 偽造されたトークンを検知できるよう、トークン生成のアルゴリズムに独自データを組み込む

自分のサービスで確かめること

  • 認証に使う署名鍵が自動で更新され、古い鍵が期限切れ後も有効なまま残っていないか確かめる
  • 異なる用途(消費者向け・企業向けなど)のトークンが、互いに誤って検証を通してしまわないか確かめる
  • 偽造されたトークンや異常な認証を検知し、通知が届く仕組みがあるか確かめる
  • 重要なセキュリティログが有償オプションに限定されず、必要な範囲で確認できるか確かめる
  • 買収した企業の端末やアカウントを社内ネットワークに接続する前に、侵害の有無を確かめる手順があるか確かめる

関わる攻撃とレッスン

学べるレッスン

  • 1-2 暗号とその失敗 (準備中)
  • 1-3 ハッシュ、改ざん検知の符号、署名 (準備中)
  • 3-5 クラウドの攻撃の経路 (準備中)

時系列

  1. 2023年
  2. 5月15日 侵入 Storm-0558がExchange Onlineのメールボックスへのアクセスを始めたとみられる[1]
  3. 6月15日 発覚 米国務省が検知ルール「Big Yellow Taxi」の警報で異常なアクセスに気づいた[1]
  4. 6月16日 対応 国務省がMicrosoftに連絡し、Microsoftが調査を開始した[1]
  5. 6月24日 対応 Microsoftが盗まれた署名鍵を無効化し、侵入経路を遮断した[1]
  6. 6月26日 発覚 偽造トークンが2016年発行のMSA鍵で署名されていたことが判明した[1]
  7. 7月11日 公表 Microsoftが中国を拠点とする脅威アクターStorm-0558による攻撃だったと公表した[1]
  8. 9月6日 公表 Microsoftが鍵の入手経路について投稿したが、CSRBの指摘を受け2024年3月12日に内容を訂正した[1]
  9. 2024年
  10. 3月 公表 米サイバー安全審査委員会(CSRB)が本件の調査報告書を公表した[1]

攻撃した側について

公的機関が名指しした攻撃者 Storm-0558

Microsoftは中国を拠点とし諜報目的を持つ脅威アクターとしてStorm-0558と名付け、米CISAとFBIもこの攻撃キャンペーンを高度な能力を持つ国家主体によるものと評価したと本報告書に記されている。特定の国家機関への断定的な帰属は本報告書には無い

出典

2026年10月24日に開いて確かめました。本文の [1] などの数は、この一覧の番号です。

  1. Review of the Summer 2023 Microsoft Exchange Online Intrusion Cyber Safety Review Board (CISA, 米国土安全保障省)、2024年3月20日、調査委員会の資料